Se ne parla molto, spesso con toni allarmistici. Proviamo a fare chiarezza, perché la NIS2 è una normativa impegnativa ma perfettamente gestibile, se affrontata con metodo.
Di cosa si tratta
La NIS2 è la Direttiva europea 2022/2555, recepita in Italia con il D.Lgs. 138/2024. L'autorità competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), che svolge anche il ruolo di CSIRT nazionale. L'obiettivo è alzare il livello di sicurezza informatica in 18 settori considerati critici per il Paese: energia, trasporti, sanità, acqua, infrastrutture digitali, manifattura, alimentare, rifiuti, servizi postali e altri ancora.
Le organizzazioni coinvolte sono classificate come soggetti essenziali o soggetti importanti. Gli obblighi di fondo sono gli stessi; cambiano l'intensità della vigilanza da parte di ACN e il tetto delle sanzioni.
"La mia azienda non è nell'elenco, quindi non mi riguarda"
È l'equivoco più comune. La NIS2 impone ai soggetti in perimetro di valutare e monitorare la sicurezza della propria catena di fornitura. In pratica: se lavori come fornitore di un'azienda soggetta alla normativa, i requisiti arriveranno a te per via contrattuale, sotto forma di questionari, clausole e richieste di evidenze. Non è una minaccia, è un'opportunità: chi si presenta preparato difende — e spesso allarga — il proprio portafoglio clienti.
Le tre cose che la norma chiede
Misure di sicurezza proporzionate al rischio. Sono state definite dalle determinazioni ACN e ancorate al Framework Nazionale per la Cybersecurity e la Data Protection: 37 misure articolate in 87 requisiti per i soggetti importanti, che diventano 43 misure e 116 requisiti per gli essenziali. Coprono governance, gestione degli accessi, protezione dei dati, continuità operativa, sicurezza dei fornitori, formazione del personale. Il termine per renderle operative — con evidenze documentali dimostrabili — è il 31 ottobre 2026.
Notifica degli incidenti significativi. Il flusso verso il CSIRT Italia prevede una pre-notifica entro 24 ore dalla conoscenza dell'incidente, una notifica completa entro 72 ore e una relazione finale entro un mese. Servono quindi ruoli assegnati, criteri interni per valutare la significatività e una procedura scritta che funzioni anche alle tre di notte di un sabato.
Responsabilità del vertice aziendale. L'articolo 23 del decreto è netto: gli organi di amministrazione approvano le misure, ne sovrintendono l'attuazione e rispondono delle violazioni. L'attuazione si delega, la responsabilità no.
E se non ci si adegua
Le sanzioni amministrative arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni o all'1,4% per i soggetti importanti, applicando l'importo più elevato. Nei casi più gravi sono previste anche misure non pecuniarie, come la sospensione temporanea di attività o servizi.