NIS2: come capire se la tua organizzazione è coinvolta e da dove iniziare

La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi. Sostituisce la precedente direttiva NIS e allarga di molto il numero di organizzazioni coinvolte. Per tante aziende e per diversi enti pubblici è il primo obbligo di legge che riguarda in modo esplicito la sicurezza informatica, con responsabilità che arrivano fino agli organi di amministrazione.

Chi rientra nel perimetro

Il decreto elenca i settori in due allegati. Nei settori ad alta criticità ci sono, tra gli altri, energia, trasporti, banche e mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi ICT per conto terzi e pubblica amministrazione. Tra gli altri settori critici ci sono servizi postali, gestione dei rifiuti, chimica, alimentare, fabbricazione di vari prodotti (dispositivi medici, elettronica, macchinari, veicoli) e alcuni fornitori di servizi digitali.

Oltre al settore conta la dimensione. In generale rientrano le medie e grandi imprese, cioè dai 50 dipendenti o dai 10 milioni di euro di fatturato in su. Per alcuni soggetti la dimensione non conta: per esempio alcuni fornitori di servizi digitali essenziali e le pubbliche amministrazioni elencate dal decreto.

I soggetti si dividono in essenziali e importanti. Gli obblighi sono simili, cambiano l’intensità dei controlli e l’entità delle sanzioni.

Cosa devono fare i soggetti coinvolti

1. Registrarsi sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN) e aggiornare i dati ogni anno, nella finestra prevista.
2. Definire le responsabilità: gli organi di amministrazione approvano le misure di sicurezza, ne rispondono e devono seguire una formazione specifica.
3. Gestire il rischio con misure tecniche e organizzative adeguate: analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di fornitura, controllo degli accessi, autenticazione a più fattori, cifratura, formazione del personale.
4. Notificare gli incidenti significativi al CSIRT Italia: una prima segnalazione entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese.

L’ACN ha previsto un’applicazione graduale, con tempi distinti per la notifica degli incidenti e per le misure di sicurezza di base. Rimandare però conviene poco: alcune misure, come un piano di continuità o la revisione degli accessi, richiedono mesi per essere fatte bene.

Le sanzioni

Per i soggetti essenziali le sanzioni possono arrivare a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. Per i soggetti importanti a 7 milioni di euro o all’1,4% del fatturato. Sono previste anche misure verso i vertici, che rispondono in prima persona della mancata attuazione.

Se non sei obbligato, ti riguarda lo stesso

È l’aspetto che molte piccole imprese sottovalutano. Chi è soggetto alla NIS2 deve gestire anche il rischio legato ai propri fornitori. Questo si traduce in questionari di sicurezza, clausole contrattuali, richieste di dimostrare che hai un backup, che usi l’autenticazione a più fattori, che sai come reagire a un incidente.

Per un fornitore di un’azienda energetica, di un ospedale o di un grande gruppo manifatturiero, essere pronti a rispondere diventa una questione commerciale prima ancora che normativa.

Da dove iniziare

1. Verifica se rientri nel perimetro, e in quale categoria.
2. Fai una gap analysis: confronta quello che hai oggi con le misure richieste.
3. Ordina gli interventi per priorità. Di solito si parte da accessi, autenticazione a più fattori, backup e gestione degli incidenti.
4. Documenta ciò che fai: le misure devono essere dimostrabili, non solo presenti.

Se vuoi capire se la NIS2 ti riguarda e cosa manca per metterti in regola, possiamo fare insieme la verifica del perimetro e la gap analysis. Trovi come lavoriamo nella pagina NIS2 e compliance.