NIS2: guida pratica per le aziende italiane
La direttiva NIS2 (Network and Information Security 2) è operativa nell’Unione Europea dal 2023 e recepita in Italia nel 2024. Eppure molte aziende, specialmente le PMI, non sanno ancora con precisione se le riguarda e cosa devono fare concretamente.
In questo articolo lo spieghiamo in modo diretto: chi è coinvolto, quali sono gli obblighi reali e da dove partire.
Cos’è NIS2 e perché è diversa dalla NIS1
La direttiva NIS2 sostituisce la precedente NIS1 del 2016 e amplia significativamente il perimetro dei soggetti obbligati, introduce obblighi più stringenti e aumenta le sanzioni per chi non si adegua.
La logica di fondo è che la sicurezza informatica non è più una questione solo delle grandi infrastrutture critiche come energia, trasporti e sanità, ma riguarda un ecosistema molto più ampio di organizzazioni, incluse quelle che operano come fornitori o partner di realtà più grandi.
Chi è coinvolto
NIS2 distingue tra due categorie di soggetti.
I soggetti essenziali operano in settori ad alta criticità: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio. Per questi, gli obblighi sono più stringenti e i controlli più frequenti.
I soggetti importanti operano in settori critici ma non essenziali: servizi postali, gestione rifiuti, produzione e distribuzione di prodotti chimici, produzione di alimenti, produzione di dispositivi medici, fornitori digitali. Per questi, gli obblighi sono simili ma i controlli avvengono principalmente a posteriori.
La dimensione conta: le soglie generali sono aziende con più di 50 dipendenti o un fatturato superiore a 10 milioni di euro. Ma ci sono eccezioni, alcune tipologie di aziende sono incluse indipendentemente dalla dimensione.
Un aspetto spesso sottovalutato è che anche le PMI che non rientrano direttamente negli obblighi NIS2 possono esserne indirettamente coinvolte se operano come fornitori di soggetti essenziali o importanti, che a loro volta devono garantire la sicurezza della propria catena di fornitura.
Gli obblighi concreti
Misure di gestione del rischio
Le organizzazioni soggette a NIS2 devono adottare misure tecniche e organizzative adeguate per gestire i rischi per la sicurezza delle reti e dei sistemi informativi. Questo include:
- politiche di analisi dei rischi e sicurezza dei sistemi informativi;
- gestione degli incidenti: procedure per rilevare, analizzare e rispondere agli incidenti;
- continuità operativa: backup, disaster recovery, gestione delle crisi;
- sicurezza della catena di approvvigionamento: valutazione dei fornitori;
- sicurezza nello sviluppo e nella manutenzione dei sistemi;
- politiche e procedure per valutare l’efficacia delle misure di sicurezza;
- uso della crittografia e cifratura;
- sicurezza delle risorse umane, politiche di controllo degli accessi.
Notifica degli incidenti
In caso di incidente significativo, le organizzazioni hanno obblighi di notifica precisi: una pre-notifica all’autorità competente (in Italia, ACN, Agenzia per la Cybersicurezza Nazionale) entro 24 ore, una notifica completa entro 72 ore, e un rapporto finale entro un mese.
Un incidente è considerato significativo se causa o può causare danni operativi gravi, perdite finanziarie rilevanti, o danni ad altri soggetti.
Responsabilità dei vertici aziendali
NIS2 introduce una novità importante: i vertici aziendali come CDA, amministratori delegati, devono approvare le misure di gestione dei rischi e possono essere ritenuti personalmente responsabili in caso di violazione degli obblighi. Non è più una questione delegabile interamente all’IT.
Le sanzioni
Le sanzioni per i soggetti essenziali arrivano fino a 10 milioni di euro o il 2% del fatturato annuo globale, con il criterio del valore più elevato. Per i soggetti importanti, fino a 7 milioni di euro o l’1,4% del fatturato. Oltre alle sanzioni economiche, sono previste misure come la sospensione temporanea di certificazioni o autorizzazioni.
Da dove iniziare
Per molte aziende, il punto di partenza più pratico è capire se e in che misura rientrano nel perimetro NIS2, e poi fare una valutazione dello stato attuale delle misure di sicurezza rispetto agli obblighi previsti.
- verificare se l’azienda rientra tra i soggetti essenziali o importanti;
- mappare i sistemi e i dati critici;
- valutare le misure di sicurezza esistenti rispetto ai requisiti NIS2;
- identificare le lacune e definire un piano di adeguamento;
- strutturare le procedure di gestione degli incidenti e di notifica;
- formare il personale e i vertici aziendali.
In Easy Pc affianchiamo le aziende nella valutazione della conformità NIS2 e nell’implementazione delle misure tecniche necessarie: dalla sicurezza dell’infrastruttura alla gestione degli accessi, dal backup al monitoraggio degli eventi di sicurezza.
Vuoi capire cosa prevede NIS2 per la tua azienda?
