Da metà ottobre la direttiva europea NIS2 è operativa anche in Italia, con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre. Se ne parla molto negli ambienti della sicurezza informatica, molto meno nelle aziende che ne sono toccate. Ed è un problema, perché questa volta il perimetro è molto più ampio di prima.
Provo a spiegare in modo semplice cosa cambia, senza allarmismi ma anche senza minimizzare.
Cos’è la NIS2, in due parole
La NIS2 è la seconda direttiva europea sulla sicurezza delle reti e dei sistemi informativi. Sostituisce la prima NIS del 2016 e ha un obiettivo chiaro: alzare il livello minimo di sicurezza informatica nei settori considerati importanti per il funzionamento del Paese.
La novità principale è proprio l’allargamento: non riguarda più solo pochi grandi operatori di servizi essenziali, ma migliaia di aziende in decine di settori, dall’energia ai trasporti, dalla sanità alla gestione dei rifiuti, dalla produzione alimentare alla manifattura, fino ai fornitori di servizi digitali.
Soggetti essenziali e soggetti importanti
Il decreto distingue due categorie: soggetti essenziali e soggetti importanti. La classificazione dipende dal settore e dalle dimensioni: in linea generale sono coinvolte le medie e grandi imprese dei settori elencati negli allegati, ma in alcuni casi anche aziende più piccole, quando il loro servizio è considerato critico.
La differenza tra le due categorie riguarda soprattutto l’intensità dei controlli e l’entità delle sanzioni. Gli obblighi di fondo sono simili.
Le scadenze da segnare in calendario
Il primo adempimento è la registrazione sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN), disponibile dal 1° dicembre 2024. Le aziende che rientrano nel perimetro devono registrarsi entro il 28 febbraio 2025, e poi aggiornare i dati ogni anno nello stesso periodo.
Registrarsi non significa diventare automaticamente “soggetto NIS”: l’ACN analizza le informazioni e poi comunica chi rientra nell’elenco. Ma non registrarsi, se si è tenuti a farlo, espone a sanzioni.
Cosa chiede, nella pratica
Al di là del linguaggio normativo, la NIS2 chiede cose che un’azienda seria dovrebbe fare comunque:
- Gestire il rischio informatico in modo strutturato: sapere quali sistemi si hanno, quali sono critici, cosa succede se si fermano.
- Adottare misure di sicurezza adeguate: controllo degli accessi, autenticazione a più fattori, backup, aggiornamenti, cifratura dove serve.
- Notificare gli incidenti significativi al CSIRT Italia in tempi stretti, con una prima segnalazione entro 24 ore.
- Controllare la catena di fornitura: i fornitori di servizi IT diventano parte del tuo perimetro di rischio.
- Coinvolgere i vertici: gli organi di amministrazione devono approvare le misure, seguirne l’attuazione e formarsi. La sicurezza non è più solo “una cosa dell’IT”.
“Ma io sono una PMI, non mi riguarda”
Forse. Ma attenzione a due cose.
La prima: verificarlo è un obbligo tuo. Non arriverà nessuno a dirti che rientri nel perimetro prima della scadenza: tocca all’azienda capire se il proprio settore e le proprie dimensioni la fanno rientrare.
La seconda, ancora più importante: anche se non rientri direttamente, potresti rientrarci indirettamente. Se lavori come fornitore per un’azienda soggetta alla NIS2, è molto probabile che nei prossimi mesi ti arrivino questionari di sicurezza, richieste di garanzie, clausole contrattuali nuove. Chi sarà pronto avrà un vantaggio commerciale concreto.
Cosa fare adesso
- Verifica se rientri nel perimetro, partendo dai settori elencati nel decreto e dal materiale pubblicato dall’ACN.
- Se rientri, registrati entro il 28 febbraio 2025 e individua il punto di contatto interno.
- Fai un inventario di sistemi, dati, fornitori e accessi. Sembra banale, ma pochissime aziende ce l’hanno aggiornato.
- Metti in sicurezza le basi: autenticazione a più fattori, backup verificati, aggiornamenti, account dismessi quando qualcuno lascia l’azienda.
- Prepara una procedura per gli incidenti: chi chiamare, cosa fare, cosa comunicare e a chi.
La NIS2 si può vivere come l’ennesimo adempimento burocratico o come l’occasione per mettere ordine. Il rischio che vuole ridurre, gli attacchi informatici che bloccano un’azienda per giorni, è reale e riguarda tutti, che la legge lo imponga o no.
Vuoi capire se la tua azienda rientra nella NIS2 o da dove partire per metterti in regola? Scrivimi.
