NIS2 in pratica: chi rientra, cosa cambia, come prepararsi

La NIS2 — Direttiva (UE) 2022/2555 — sostituisce la prima direttiva NIS (2016) e allarga in modo sostanziale il numero di aziende tenute a gestire il rischio cyber in modo strutturato. In Italia è stata recepita con il decreto legislativo 138/2024, che affida all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente. Il termine europeo di recepimento era il 17 ottobre 2024.

Il punto non è la sigla, ma il cambio di baricentro: la sicurezza cessa di essere un tema tecnico delegato all’IT e diventa un obbligo di governance con responsabilità esplicite in capo agli organi di gestione. Vediamo, in concreto, chi rientra, cosa cambia e da dove conviene partire.

Chi rientra: soggetti essenziali e importanti

La NIS2 abbandona la vecchia distinzione tra operatori di servizi essenziali e fornitori di servizi digitali e introduce due categorie: soggetti essenziali e soggetti importanti. La differenza non riguarda gli obblighi di sicurezza — che sono sostanzialmente gli stessi — ma l’intensità della vigilanza e il regime sanzionatorio: sui soggetti essenziali la supervisione è proattiva, sugli importanti prevalentemente ex post.

L’ambito è definito da settori (Allegati I e II: energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, ma anche manifattura, alimentare, gestione dei rifiuti, servizi postali) combinati con una soglia dimensionale: come regola generale rientrano le medie e grandi imprese, cioè quelle con almeno 50 dipendenti oppure oltre 10 milioni di euro di fatturato. Esistono però eccezioni che prescindono dalla dimensione, ad esempio per alcuni fornitori di infrastrutture digitali o soggetti critici per un territorio.

Il primo esercizio utile è quindi banale ma spesso trascurato: verificare la propria qualifica in modo documentato, includendo l’effetto a cascata sulla catena di fornitura, perché un’azienda fuori perimetro può comunque diventarne parte come fornitore rilevante di un soggetto in ambito.

Gestione del rischio: le misure minime

L’articolo 21 della direttiva definisce un insieme di misure minime che i soggetti devono adottare con un approccio proporzionato al rischio. Non è un elenco di prodotti da comprare, ma di ambiti da presidiare: politiche di analisi del rischio e sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa e ripristino, sicurezza della catena di approvvigionamento, sicurezza nell’acquisizione e manutenzione dei sistemi, valutazione dell’efficacia delle misure, igiene informatica di base e formazione, crittografia, controllo degli accessi e gestione degli asset, uso dell’autenticazione a più fattori.

La parola chiave è proporzionalità: la direttiva chiede misure adeguate al rischio effettivo, alla dimensione e all’esposizione. Un ospedale e un operatore postale regionale non affrontano gli stessi scenari, e la NIS2 non pretende che lo facciano allo stesso modo.

Notifica degli incidenti: la finestra delle 24 ore

Sugli incidenti significativi la direttiva definisce un percorso a tappe. Entro 24 ore dalla conoscenza dell’incidente va trasmesso un pre-allarme (early warning); entro 72 ore una notifica più completa con una valutazione iniziale di gravità e impatto; su richiesta, un rapporto intermedio; ed entro un mese un rapporto finale con analisi delle cause, misure adottate e impatto transfrontaliero. Un incidente è significativo quando può causare una grave perturbazione operativa o perdite finanziarie, oppure ripercussioni su altri soggetti.

La lezione pratica è che questi termini non si rispettano improvvisando durante una crisi. Servono processi di rilevazione, criteri di classificazione decisi in anticipo e ruoli chiari su chi decide e chi comunica: la maggior parte delle aziende fallisce sul tempo, non sui contenuti.

La responsabilità degli organi di gestione

È il vero cambio culturale della NIS2. Gli organi di gestione approvano le misure di gestione del rischio, ne supervisionano l’attuazione e possono risponderne. La direttiva prevede inoltre che i membri di tali organi seguano una formazione adeguata e che questa venga estesa al personale. La sicurezza smette di essere qualcosa che accade nel reparto IT e diventa una decisione di cui il vertice è consapevole e documentabilmente responsabile.

Come prepararsi, in ordine

Un percorso sensato parte dalla qualifica (sono in ambito? come essenziale o importante?), prosegue con un gap assessment onesto rispetto all’articolo 21, e sfocia in una roadmap prioritizzata per rischio e non per facilità di esecuzione. In parallelo vanno costruite due capacità che la direttiva rende non negoziabili: un processo di gestione e notifica degli incidenti realmente provato, e un presidio della catena di fornitura basato su requisiti contrattuali e verifiche, non su questionari archiviati.

In sintesi

La NIS2 non chiede tecnologia esotica: chiede governance, proporzionalità e prova. Chi la affronta come un progetto di conformità formale produce carta; chi la usa come occasione per mettere ordine nel rischio reale ottiene un’azienda più difendibile — e, non secondariamente, un vertice che sa di cosa risponde.