Il 17 ottobre 2024 è una data che molti imprenditori italiani non hanno ancora segnato sul calendario, ma dovrebbero. È il giorno in cui l'Italia ha recepito ufficialmente la Direttiva NIS2 (Network and Information Security 2) nell'ordinamento nazionale, con il Decreto Legislativo n. 138/2024. Da quel momento, migliaia di organizzazioni, incluse molte piccole e medie imprese, hanno obblighi concreti in materia di cybersecurity che non possono più ignorare.
La NIS2 non è l'ennesima normativa burocratica da archiviare in un cassetto. È un cambiamento strutturale nel modo in cui lo Stato italiano e l'Unione Europea concepisce la sicurezza informatica: non più un tema tecnico riservato agli specialisti IT, ma una responsabilità diretta del management aziendale. In questa guida analizziamo tutto quello che serve sapere: chi è coinvolto, cosa cambia rispetto al passato, quali sono gli obblighi concreti e come iniziare ad adeguarsi.
Cos'è la NIS2 e quando è entrata in vigore in Italia
La Direttiva NIS2 (Direttiva UE 2022/2555) è il successore della Direttiva NIS del 2016, con un perimetro di applicazione enormemente ampliato e requisiti molto più stringenti. L'obiettivo dichiarato dell'Unione Europea è creare un livello comune elevato di cybersicurezza in tutti gli Stati membri, riducendo le asimmetrie tra paesi più e meno preparati.
A livello europeo, la direttiva è entrata in vigore il 16 gennaio 2023, con obbligo di recepimento entro il 17 ottobre 2024. L'Italia ha rispettato la scadenza: il D.Lgs. 138/2024, pubblicato in Gazzetta Ufficiale, ha trasferito nel diritto nazionale tutti gli obblighi previsti dalla direttiva, assegnando all'Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente e punto di contatto unico.
Un aspetto importante: la registrazione delle organizzazioni soggette avverrà tramite una piattaforma digitale messa a disposizione dall'ACN. Le aziende che rientrano nel perimetro devono censirsi e successivamente adempiere agli obblighi entro i termini stabiliti dall'autorità. Non si tratta di un processo immediato, ma il conto alla rovescia è già iniziato.
Chi è soggetto alla NIS2: settori e soglie dimensionali
Uno degli elementi più rilevanti della NIS2 rispetto alla precedente normativa è l'estensione del campo di applicazione. La direttiva distingue due categorie di soggetti: soggetti essenziali e soggetti importanti. La distinzione influenza i requisiti di vigilanza e l'entità delle sanzioni, ma entrambe le categorie sono soggette agli stessi obblighi sostanziali.
Soggetti essenziali: operano in settori ad alta criticità: energia (elettricità, gas, petrolio, idrogeno), trasporti (aereo, ferroviario, stradale, marittimo), settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali (punti di interscambio internet, fornitori di servizi DNS, registri TLD, fornitori di servizi cloud, data center, reti di distribuzione dei contenuti), gestione dei servizi ICT, pubblica amministrazione, spazio.
Soggetti importanti: operano in altri settori critici: servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, computer, elettronica, macchinari, veicoli, altri prodotti manifatturieri), fornitori di servizi digitali (marketplace online, motori di ricerca, social network), ricerca.
Quanto alle soglie dimensionali, la regola generale è che la NIS2 si applica alle medie e grandi imprese: quelle con almeno 50 dipendenti o un fatturato/bilancio annuo superiore a 10 milioni di euro. Le microimprese e le piccole imprese (sotto i 50 dipendenti e i 10 milioni di fatturato) sono generalmente escluse, ma con eccezioni rilevanti. Alcune tipologie di aziende rientrano nel perimetro a prescindere dalle dimensioni: fornitori di reti pubbliche di comunicazione, fornitori di servizi di fiducia qualificati, registri dei nomi di dominio di primo livello. Inoltre, le autorità nazionali possono includere specifiche piccole imprese che rappresentano un rischio significativo per la sicurezza.
Cosa cambia rispetto alla precedente NIS
Per chi già operava sotto la vecchia Direttiva NIS del 2016, il cambiamento è sostanziale. La NIS originale aveva un perimetro limitato a pochi settori e lasciava grande discrezionalità agli Stati membri nell'identificare gli operatori di servizi essenziali. Il risultato era una frammentazione significativa tra i paesi europei, con livelli di applicazione molto diversi.
Con la NIS2, le principali novità sono:
- Perimetro ampliato: da 7 a 18 settori coperti, con l'aggiunta di catena alimentare, manifattura, ricerca, servizi postali e altri. Si stima che in Italia le organizzazioni soggette passino da poche centinaia a decine di migliaia.
- Responsabilità del top management: la NIS2 introduce esplicitamente la responsabilità personale degli organi di amministrazione. I dirigenti possono essere ritenuti responsabili in caso di violazioni gravi e mancata adozione delle misure richieste. Non è più possibile delegare completamente la cybersecurity all'ufficio IT.
- Obblighi di sicurezza della supply chain: le organizzazioni devono valutare i rischi legati ai propri fornitori e partner tecnologici. Non basta mettere in sicurezza la propria infrastruttura: bisogna verificare anche quella di chi fornisce servizi critici.
- Notifica degli incidenti più rapida: la NIS2 impone tempistiche molto stringenti per la segnalazione degli incidenti significativi all'ACN (preavviso entro 24 ore, notifica completa entro 72 ore).
- Sanzioni più severe: gli importi massimi delle sanzioni sono aumentati in modo significativo e sono ora comparabili a quelli del GDPR.
- Armonizzazione europea: riduzione della discrezionalità degli Stati membri, con un framework più omogeneo tra i paesi UE.
Gli obblighi principali per le aziende soggette
La NIS2 non prescrive soluzioni tecnologiche specifiche, ma richiede l'adozione di misure adeguate e proporzionate al rischio. Questo approccio basato sul rischio è al tempo stesso flessibile e impegnativo: non basta installare un antivirus e dichiarare di essere conformi.
Gestione del rischio cyber: le organizzazioni devono adottare politiche di analisi dei rischi e di sicurezza dei sistemi informatici. Questo include l'identificazione degli asset critici, la valutazione delle minacce, l'implementazione di controlli proporzionati e la revisione periodica del framework di sicurezza.
Gestione degli incidenti: obbligo di disporre di procedure per il rilevamento, la gestione e la notifica degli incidenti. Questo richiede strumenti di monitoraggio, piani di risposta agli incidenti testati e canali di comunicazione con l'ACN operativi.
Continuità operativa e disaster recovery: le aziende devono garantire la continuità dei servizi attraverso piani di backup, ripristino e gestione delle crisi. Un piano di business continuity non è più opzionale per le organizzazioni soggette.
Sicurezza della supply chain: valutazione della sicurezza dei fornitori diretti e dei provider di servizi ICT. Questo significa rivedere i contratti con i fornitori, includere clausole di sicurezza e condurre assessment periodici.
Sicurezza nello sviluppo e acquisizione di sistemi: politiche per la gestione sicura delle vulnerabilità, inclusa la divulgazione responsabile. Le patch di sicurezza critiche non possono rimanere inapplicate per settimane.
Formazione e sensibilizzazione: programmi di formazione obbligatoria per il personale, con particolare attenzione al management. La consapevolezza della cybersecurity non può essere confinata al reparto IT.
Crittografia: uso di crittografia e, ove appropriato, di cifratura end-to-end per la protezione dei dati sensibili in transito e a riposo.
Controllo degli accessi: politiche di gestione degli accessi basate sul principio del minimo privilegio, autenticazione multi-fattore e, dove possibile, autenticazione continua.
Le sanzioni previste dalla NIS2
Le sanzioni introdotte dalla NIS2 sono significativamente più alte rispetto alla normativa precedente e si avvicinano alla struttura sanzionatoria del GDPR. L'autorità competente in Italia è l'ACN, che ha poteri di ispezione, audit e irrogazione di sanzioni.
Per i soggetti essenziali, le sanzioni amministrative pecuniarie possono arrivare fino a 10 milioni di euro o il 2% del fatturato mondiale annuo totale (si applica il valore più alto). Per i soggetti importanti, i massimali sono 7 milioni di euro o l'1,4% del fatturato mondiale.
Oltre alle sanzioni pecuniarie, la NIS2 prevede misure non monetarie che possono essere altrettanto impattanti: sospensione temporanea delle certificazioni, ordini di conformità, obbligo di notifica pubblica della violazione, e, nei casi più gravi, sospensione temporanea delle attività. Per i soggetti essenziali, le autorità nazionali possono disporre anche la sospensione dall'esercizio delle funzioni manageriali.
L'ACN può avviare ispezioni sia su base programmata che a seguito di segnalazioni o incidenti. Il mancato censimento nella piattaforma ACN, la mancata notifica di incidenti significativi e l'assenza di misure di gestione del rischio sono tutti elementi che possono innescare procedimenti sanzionatori.
Le PMI italiane sono incluse?
La risposta onesta è: dipende. La NIS2 si rivolge principalmente alle organizzazioni con più di 50 dipendenti o più di 10 milioni di euro di fatturato/bilancio annuo che operano nei settori elencati. Questo significa che una piccola impresa manifatturiera con 30 dipendenti e 8 milioni di fatturato, in linea di principio, è esclusa.
Tuttavia, ci sono tre situazioni in cui anche le PMI più piccole devono prestare attenzione:
- Fornitura a soggetti NIS2: se la vostra azienda è fornitore di un'organizzazione soggetta alla NIS2, quest'ultima ha l'obbligo di valutare la sicurezza della sua supply chain. In pratica, i vostri clienti vi chiederanno requisiti di sicurezza, audit e garanzie contrattuali. La NIS2 si propaga indirettamente lungo tutta la catena di fornitura.
- Aziende critiche a prescindere dalle dimensioni: alcune categorie di piccole imprese rientrano nel perimetro per la natura critica del loro ruolo: fornitori di servizi di fiducia qualificati, registrar di domini TLD, operatori di infrastrutture digitali critiche.
- Aziende prossime alle soglie: se siete vicini ai 50 dipendenti o ai 10 milioni di fatturato, è il momento di prepararsi comunque. Crescere senza avere già un framework di sicurezza strutturato significa dover gestire una rincorsa costosa e problematica.
In ogni caso, adeguarsi volontariamente ai principi della NIS2, anche senza obbligo legale diretto, è una scelta strategica intelligente. Le minacce informatiche non verificano le dimensioni aziendali prima di colpire, e un framework di sicurezza strutturato protegge sia dai criminali informatici che dai requisiti dei clienti enterprise.
Come adeguarsi: un piano pratico in 5 passi
L'adeguamento alla NIS2 non è un progetto che si completa in una settimana, ma non deve nemmeno essere paralizzante. Un approccio strutturato permette di avanzare progressivamente, partendo dai controlli fondamentali e costruendo nel tempo un framework completo.
- Passo 1. Verifica se sei soggetto: analizza il settore in cui operi, il numero di dipendenti e il fatturato. In caso di dubbio, consulta la documentazione ACN o un esperto. Se sei soggetto, registrati sulla piattaforma ACN entro i termini indicati.
- Passo 2. Mappa i tuoi asset critici: identifica sistemi, applicazioni, dati e infrastrutture che sono essenziali per il tuo business. Non puoi proteggere ciò che non sai di avere. Questa fase include anche la mappatura dei fornitori tecnologici critici.
- Passo 3. Conduci una gap analysis: confronta il tuo livello attuale di sicurezza con i requisiti NIS2. Dove sono le lacune? Quali controlli mancano o sono insufficienti? Una gap analysis strutturata ti dà le priorità di intervento.
- Passo 4. Implementa i controlli prioritari: partendo dai rischi più alti, implementa i controlli mancanti. MFA su tutti gli accessi privilegiati, backup testati, piano di risposta agli incidenti, patch management sistematico, formazione del personale. Non cercare la perfezione subito: punta alla riduzione del rischio più rilevante.
- Passo 5. Struttura governance e processi: nomina un responsabile della cybersecurity (CISO o equivalente), aggiorna le policy aziendali, stabilisci un processo di revisione periodica. La NIS2 non è un progetto una tantum: è un programma continuo di gestione del rischio cyber.
Checklist NIS2 per iniziare
Ecco gli elementi fondamentali da verificare per capire il vostro punto di partenza:
- Avete un inventario aggiornato di tutti i sistemi e le applicazioni aziendali?
- Utilizzate l'autenticazione multi-fattore per tutti gli accessi privilegiati e remoti?
- I backup vengono eseguiti regolarmente e il ripristino viene testato almeno una volta l'anno?
- Disponete di un processo formale di gestione delle patch di sicurezza?
- Avete un piano di risposta agli incidenti documentato e testato?
- I contratti con i fornitori ICT includono clausole di sicurezza e diritti di audit?
- Il personale riceve formazione regolare sulla cybersecurity e sul phishing?
- Esiste una procedura per la notifica degli incidenti alle autorità competenti?
- Il management è consapevole dei propri obblighi e responsabilità in materia di cybersecurity?
- Avete condotto una valutazione del rischio cyber negli ultimi 12 mesi?
- I dati sensibili sono protetti con crittografia sia in transito che a riposo?
- Disponete di strumenti di monitoraggio per rilevare attività anomale sui vostri sistemi?
Conclusione
La NIS2 rappresenta un cambio di paradigma: la cybersecurity non è più una scelta, ma un requisito legale con conseguenze concrete in termini di sanzioni, responsabilità personale del management e reputazione aziendale. Per le PMI italiane, questo può sembrare un peso aggiuntivo in un contesto già complesso. Ma la prospettiva giusta è un'altra: la NIS2 offre un framework chiaro per strutturare la sicurezza informatica in modo professionale, riducendo il rischio reale di incidenti che possono costare molto di più di qualsiasi investimento in compliance.
Se vuoi capire se la tua azienda rientra nel perimetro NIS2 e quali passi concreti devi compiere, contattaci per una valutazione gratuita. Ti aiuteremo a navigare la normativa e a costruire un percorso di adeguamento sostenibile, senza sprechi e senza allarmismi.