La direttiva UE 2022/2555, recepita in Italia con il D.lgs. 138/2024, estende gli obblighi di cybersicurezza a decine di migliaia di imprese. Qui trovi in modo chiaro cosa prevede, la differenza tra soggetti essenziali e importanti, le misure minime richieste e i passi concreti per arrivare preparati a un controllo.
La NIS2 è la seconda direttiva europea sulla sicurezza delle reti e dei sistemi informativi. Sostituisce la NIS del 2016 ampliando drasticamente il numero di settori coinvolti, alzando l'asticella delle misure tecniche e organizzative minime e introducendo la responsabilità diretta del management.
In Italia il recepimento è avvenuto con il Decreto legislativo 4 settembre 2024 n. 138. L'autorità competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), presso cui i soggetti si registrano e a cui notificano gli incidenti significativi.
L'impianto non chiede di comprare uno strumento specifico: chiede di dimostrare che il rischio è gestito. Ciò significa avere documentazione aggiornata su asset, fornitori, misure attive, formazione del personale e verifiche svolte nel tempo.
La NIS2 non parla più di "operatori di servizi essenziali" e "fornitori di servizi digitali", ma classifica le organizzazioni in due categorie in base al settore e alla dimensione. Gli obblighi di sicurezza sono sostanzialmente gli stessi: cambia il regime di vigilanza e il massimale delle sanzioni.
Settori ad altissima criticità: energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio. Di norma grandi imprese: oltre 250 dipendenti oppure fatturato superiore a 50 milioni di euro.
Altri settori critici: servizi postali e di corriere, gestione dei rifiuti, chimica, produzione e distribuzione alimentare, fabbricazione di dispositivi medici, elettronica, macchinari, veicoli, fornitori di servizi digitali e ricerca. Tipicamente medie imprese: almeno 50 dipendenti oppure 10 milioni di euro di fatturato.
Attenzione all'effetto a cascata: anche una piccola impresa fuori perimetro riceve spesso i requisiti NIS2 dai clienti che vi rientrano, sotto forma di questionari, clausole contrattuali e richieste di evidenze sulle misure adottate.
La direttiva elenca un insieme di misure tecniche, operative e organizzative proporzionate al rischio. Sono il riferimento su cui si costruisce qualsiasi assessment di conformità.
Verifica settore, dimensione (dipendenti e fatturato) e ruolo nella catena di fornitura. Anche chi non rientra direttamente riceve spesso i requisiti NIS2 dai propri clienti tramite contratto.
Server, client, apparati di rete, software, servizi cloud e dispositivi mobili, con criticità, protezioni attive, sede, referente e fornitore collegato.
La supply chain è uno dei capitoli più pesanti della direttiva: servono criticità del fornitore, servizi erogati, scadenze contrattuali e clausole di sicurezza.
Un questionario strutturato sulle aree di misura previste dall'articolo 21 restituisce un punteggio e individua le lacune da chiudere per prime.
La direttiva richiede formazione documentata, inclusa quella degli organi direttivi. Servono corsi, esiti dei test e attestati verificabili nel tempo.
Le misure vanno riesaminate con cadenza definita: cicli di verifica su ogni device, esiti registrati e storico consultabile in sede di audit.
La NIS2 (direttiva UE 2022/2555) è la normativa europea sulla sicurezza delle reti e dei sistemi informativi. In Italia è stata recepita dal D.lgs. 138/2024 e impone a migliaia di aziende obblighi di governance della sicurezza, gestione del rischio, controllo della catena di fornitura e notifica degli incidenti all'ACN.
I soggetti essenziali operano in settori ad altissima criticità (energia, trasporti, banche, sanità, acqua, infrastrutture digitali, pubblica amministrazione) e in genere superano i 250 dipendenti o i 50 milioni di euro di fatturato. I soggetti importanti coprono settori critici come poste, rifiuti, chimica, alimentare, manifattura, servizi digitali e ricerca, tipicamente con almeno 50 dipendenti o 10 milioni di euro di fatturato. La differenza principale sta nel regime di vigilanza: proattiva e continuativa per gli essenziali, successiva agli incidenti per gli importanti.
Fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali e fino a 7 milioni di euro o all'1,4% per i soggetti importanti. Il decreto italiano prevede inoltre la responsabilità diretta degli organi di amministrazione.
Pre-notifica entro 24 ore dalla conoscenza dell'incidente significativo, notifica completa entro 72 ore e relazione finale entro un mese, tramite il portale dell'Agenzia per la Cybersicurezza Nazionale.
Dall'inventario: senza un registro aggiornato di device, software, servizi cloud e fornitori non è possibile dimostrare né la gestione del rischio né le misure tecniche adottate. Subito dopo vengono l'assessment delle 18 aree di misura, la formazione del personale e il ciclo di verifiche periodiche.
Trustboard.IT Security mette in un unico posto inventario asset, fornitori e contratti, assessment NIS2 con punteggio e roadmap, formazione dei dipendenti con attestati verificabili e verifiche periodiche documentate.
