NIS2 in Italia: Tutto Quello che Devi Sapere sulla Direttiva Europea

La Direttiva NIS2 (Network and Information Systems 2) è la normativa europea sulla cybersecurity che ha ampliato significativamente la platea di aziende obbligate a rispettare standard di sicurezza informatica. In Italia, coinvolge migliaia di organizzazioni che forse non sapevano di essere nel perimetro.

Cos'è la NIS2 e perché è importante

La NIS2 sostituisce la direttiva NIS del 2016, ampliandone significativamente il perimetro e rafforzando i requisiti. È la risposta dell'UE alla crescente minaccia cyber: gli incidenti ai settori essenziali (ospedali, energia, trasporti) hanno dimostrato che la sicurezza informatica è una questione di sicurezza nazionale.

In Italia, il decreto di recepimento è stato approvato nel 2024. L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità competente principale.

Chi è soggetto alla NIS2

Soggetti Essenziali (allegato I)

• Energia: elettricità, gas, petrolio, idrogeno
• Trasporti: aereo, ferroviario, marittimo, stradale
• Banche e infrastrutture finanziarie
• Settore sanitario: ospedali, laboratori, R&D farmaceutica
• Acqua potabile e acque reflue
• Infrastrutture digitali: DNS, TLD, datacenter, cloud, reti CDN
• Pubblica Amministrazione: centrale e regionale
• Spazio

Soggetti Importanti (allegato II)

• Servizi postali e corrieri
• Gestione dei rifiuti
• Produzione e distribuzione di alimenti
• Chimica, industria manifatturiera (elettronica, macchinari, automotive, dispositivi medici)
• Servizi digitali: marketplace online, motori di ricerca, social network
• Ricerca

Soglie dimensionali: si applicano in generale a organizzazioni con 50+ dipendenti o 10M€+ di fatturato/bilancio. Ma alcuni settori (PA, infrastrutture critiche) includono tutte le entità a prescindere dalle dimensioni.

Gli obblighi principali

1. Misure di gestione del rischio cyber

Le organizzazioni devono implementare misure proporzionate al rischio:

• Policy e governance: framework di sicurezza documentato, ruoli chiari
• Gestione degli incidenti: procedure per rilevare, rispondere e recuperare
• Business continuity: backup, disaster recovery, gestione delle crisi
• Sicurezza della supply chain: gestire il rischio dei fornitori ICT
• Crittografia: uso appropriato di cifratura e gestione delle chiavi
• Controllo degli accessi e autenticazione: MFA dove appropriato
• Sicurezza HR: formazione e awareness del personale

2. Notifica degli incidenti

La NIS2 impone scadenze precise per la notifica degli incidenti significativi all'ACN:

• Preavviso entro 24 ore dalla presa di conoscenza
• Notifica completa entro 72 ore con valutazione iniziale
• Report finale entro 1 mese con analisi delle cause

Un incidente è "significativo" se causa interruzione grave dei servizi o impatta altri soggetti.

3. Responsabilità del management

Novità importante: la NIS2 responsabilizza esplicitamente i vertici aziendali (CDA, AD). Il management deve:

• Approvare le misure di gestione del rischio
• Sorvegliare la loro implementazione
• Formarsi adeguatamente sulla cybersecurity

I dirigenti possono essere personalmente sanzionati in caso di negligenza.

4. Registrazione presso l'ACN

I soggetti NIS2 devono registrarsi presso l'ACN attraverso la piattaforma dedicata. La registrazione include informazioni sull'organizzazione, i servizi erogati e i referenti per la sicurezza.

Come prepararsi: il piano d'azione

Passo 1: Verifica se sei nel perimetro

Analizza il tuo settore e le dimensioni aziendali. In caso di dubbio, contatta l'ACN o consulta un esperto legale specializzato in cybersecurity regulation.

Passo 2: Gap assessment

Confronta le tue misure di sicurezza attuali con i requisiti NIS2. Le aree tipicamente deficitarie nelle PMI italiane:

• Assenza di un piano di gestione degli incidenti documentato
• Nessuna procedura di backup testata
• Gestione dei fornitori ICT non strutturata
• Awareness del personale insufficiente

Passo 3: Risk assessment

Conduci una valutazione del rischio formale. Identifica i sistemi critici per la continuità del servizio e le minacce più probabili.

Passo 4: Implementazione e documentazione

Implementa le misure mancanti e documentale. La documentazione è fondamentale: l'ACN può richiedere audit e ispezioni.

Passo 5: Formazione e awareness

Forma il personale e soprattutto il management. La NIS2 richiede competenze a tutti i livelli dell'organizzazione.

Sinergie con altri standard

NIS2 e ISO 27001 sono complementari: molte misure richieste dalla NIS2 corrispondono a controlli ISO 27001. Le organizzazioni già certificate ISO 27001 sono in buona posizione per la conformità NIS2, anche se rimangono alcuni requisiti specifici (notifica incidenti, governance del management) da formalizzare.

La NIS2 non è una minaccia: è un'opportunità per rafforzare la postura di sicurezza dell'azienda e dimostrare affidabilità a clienti e partner.