NIS2: obblighi, scadenze e adeguamento per le aziende italiane

Che cos'è la direttiva NIS2

La direttiva (UE) 2022/2555, nota come NIS2, è la normativa europea che fissa un livello comune elevato di cybersicurezza per i soggetti che erogano servizi importanti per la società e l'economia. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, e l'autorità nazionale competente è l'Agenzia per la Cybersicurezza Nazionale (ACN).

Rispetto alla prima direttiva NIS, la NIS2 allarga molto il numero di settori e di organizzazioni coinvolte, introduce misure di sicurezza più dettagliate, obblighi di notifica stringenti e una responsabilità diretta degli organi di amministrazione.

Chi è soggetto alla NIS2

Il decreto distingue soggetti essenziali e soggetti importanti, in base al settore e alle dimensioni. Di norma rientrano le medie e grandi imprese, cioè con almeno 50 dipendenti oppure un fatturato annuo superiore a 10 milioni di euro, che operano nei settori elencati negli allegati. Alcuni soggetti sono inclusi indipendentemente dalle dimensioni, per esempio i fornitori di servizi DNS, i registri dei nomi di dominio, alcuni fornitori di comunicazioni elettroniche e le pubbliche amministrazioni individuate.

Anche chi non rientra direttamente nell'ambito è spesso coinvolto come fornitore: i soggetti NIS2 devono gestire la sicurezza della propria catena di approvvigionamento e trasferiscono requisiti contrattuali ai fornitori.

• Energia, trasporti, settore bancario e infrastrutture dei mercati finanziari
• Sanità, acqua potabile e acque reflue
• Infrastrutture digitali e servizi ICT gestiti (B2B)
• Pubblica amministrazione centrale e locale
• Servizi postali, gestione dei rifiuti, chimica, alimentare
• Fabbricazione di dispositivi medici, elettronica, macchinari, veicoli
• Fornitori digitali: marketplace, motori di ricerca, social network
• Ricerca e spazio

I principali obblighi

I soggetti devono registrarsi sulla piattaforma ACN e aggiornare annualmente le proprie informazioni, adottare misure tecniche, operative e organizzative proporzionate al rischio e notificare gli incidenti significativi. Le misure coprono l'intero ciclo della sicurezza.

• Politiche di analisi dei rischi e sicurezza dei sistemi
• Gestione degli incidenti
• Continuità operativa, backup e gestione delle crisi
• Sicurezza della catena di approvvigionamento
• Sicurezza nello sviluppo e nella manutenzione dei sistemi
• Valutazione dell'efficacia delle misure
• Igiene informatica e formazione
• Crittografia, controllo accessi, MFA e gestione degli asset

Notifica degli incidenti: 24 ore, 72 ore, un mese

Per gli incidenti con impatto significativo il decreto prevede una sequenza precisa verso il CSIRT Italia: una pre-notifica entro 24 ore dalla conoscenza dell'incidente, una notifica entro 72 ore con una prima valutazione di gravità, impatto e indicatori di compromissione, e una relazione finale entro un mese.

Rispettare queste finestre richiede capacità di rilevazione continua, una procedura interna chiara su chi decide e chi comunica, e modelli di notifica già pronti. Per questo integriamo il piano di incident response con il SOC gestito.

Responsabilità degli amministratori e sanzioni

Gli organi di amministrazione approvano le misure di gestione del rischio, ne sovrintendono l'attuazione, sono responsabili delle violazioni e devono seguire una formazione in materia di sicurezza informatica. La cybersicurezza diventa quindi un tema di governance, non solo dell'IT.

Le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o all'1,4% del fatturato per i soggetti importanti, oltre a misure accessorie a carico dei vertici in caso di violazioni gravi.

Il percorso di adeguamento NIS2 con GS Cyber Solution

Accompagniamo l'organizzazione dalla verifica dell'ambito fino alla gestione continuativa, con un approccio che riusa il lavoro già fatto per GDPR e ISO/IEC 27001 invece di creare documenti paralleli.

• 1. Verifica dell'ambito e della categoria (essenziale o importante)
• 2. Supporto alla registrazione sulla piattaforma ACN
• 3. Gap analysis sulle misure di sicurezza di base
• 4. Risk assessment e piano di trattamento con priorità
• 5. Policy, procedure di incident response e notifica
• 6. Valutazione dei fornitori e clausole contrattuali
• 7. Formazione del CdA e del personale
• 8. Test di efficacia: penetration test e simulazioni