Cos’è la NIS2? Tutto ciò che la tua azienda deve sapere

La Direttiva NIS2 (Direttiva (UE) 2022/2555) è la legge sulla cybersicurezza più completa dell’Unione Europea fino ad oggi. Sostituisce la Direttiva NIS originale (2016) ed espande in modo significativo sia l’ambito di applicazione sia gli obblighi per le organizzazioni che forniscono servizi essenziali o importanti.

In sintesi: la NIS2 stabilisce requisiti di base per la cybersicurezza e la segnalazione degli incidenti per un’ampia gamma di settori — dall’energia e la sanità alla finanza, la produzione e le infrastrutture digitali. La conformità non è facoltativa; le sanzioni per le violazioni possono raggiungere i 10 milioni di euro o il 2% del fatturato globale, a seconda di quale importo sia maggiore.

1. Contesto: Perché esiste la NIS2

La Direttiva NIS originale del 2016 è stato il primo tentativo dell’UE di armonizzare i requisiti di cybersicurezza tra gli stati membri. Sebbene abbia migliorato il coordinamento, presentava alcune debolezze chiave:

  • Ambito di applicazione limitato – Troppi pochi settori erano coperti, lasciando molte industrie critiche fuori dal suo raggio d’azione.
  • Applicazione incoerente – I diversi stati membri avevano requisiti molto variabili.
  • Minacce in evoluzione – Ransomware, attacchi alla catena di approvvigionamento e operazioni informatiche sponsorizzate da stati sono diventati più sofisticati.

Incidenti di alto profilo come l’attacco alla Colonial Pipeline negli Stati Uniti, i ransomware negli ospedali tedeschi e le violazioni della catena di approvvigionamento come SolarWinds hanno reso evidente che i settori critici necessitavano di una protezione più forte e uniforme in tutta Europa.

2. Chi deve conformarsi alla NIS2?

Secondo la NIS2, le organizzazioni sono classificate come:

CategoriaEsempiApproccio di vigilanzaMassimale sanzioni
Soggetti EssenzialiOperatori di reti elettriche, grandi ospedali, hub di trasporto principali, banche centraliAudit proattivi, vigilanza rigorosa10 M€ o 2% del fatturato globale
Soggetti ImportantiFornitori di cloud hosting, produttori di dispositivi medici, impianti di produzione alimentare, fornitori manifatturieriVigilanza reattiva (dopo incidenti o reclami)7 M€ o 1,4% del fatturato globale

Soglia dimensionale: Si applica alle medie e grandi imprese (50+ dipendenti o 10+ M€ di fatturato), ma le microimprese possono comunque essere incluse se i loro servizi sono critici — ad esempio, un fornitore di trattamento delle acque con 20 persone in una regione rurale.

3. Settori coperti

La NIS2 si applica a 18 settori, suddivisi in settori ad alta criticità e altri settori critici.

I settori ad alta criticità includono:

  • Energia (elettricità, gas, petrolio, idrogeno)
  • Trasporti (aereo, ferroviario, navale, stradale)
  • Bancario & Infrastrutture dei mercati finanziari
  • Sanità (ospedali, cliniche private, laboratori)
  • Acqua potabile e acque reflue
  • Infrastrutture digitali (DNS, registri TLD, data center, cloud computing)

Gli altri settori critici includono:

  • Servizi postali e di corriere
  • Gestione dei rifiuti
  • Produzione di sostanze chimiche
  • Produzione, trasformazione e distribuzione di alimenti
  • Fabbricazione di prodotti critici (dispositivi medici, elettronica, macchinari)

Esempio: Un’azienda olandese che produce ossigeno per uso medico sarebbe coperta sia dalle norme sulla produzione sia da quelle sulla catena di approvvigionamento sanitaria.

4. Requisiti chiave della NIS2

Ogni soggetto coperto deve:

  1. Implementare solide misure di gestione del rischio
    Esempi includono: segmentare le reti operative dall’IT aziendale, imporre rigide politiche di rotazione delle password, crittografare i dati a riposo e adottare principi di fiducia zero (zero-trust).
  2. Segnalare rapidamente gli incidenti significativi
    • Notifica iniziale entro 24 ore dalla conoscenza
    • Aggiornamento sull’incidente entro 72 ore
    • Relazione finale entro un mese
      Esempio: Se un attacco ransomware blocca le operazioni di un hub logistico, la prima segnalazione deve essere inviata all’autorità nazionale prima che il ripristino sia completato.
  3. Gestire i rischi della catena di approvvigionamento
    • Verificare fornitori e appaltatori
    • Includere clausole di cybersicurezza nei contratti
    • Richiedere attestazioni di conformità regolari
  4. Garantire la supervisione a livello dirigenziale
    L’alta direzione deve approvare le misure di cybersicurezza e può essere ritenuta personalmente responsabile per negligenza.
  5. Essere pronti per gli audit
    Le autorità di vigilanza possono richiedere in qualsiasi momento log di accesso, policy di sicurezza e documentazione sugli incidenti.

5. Flusso di lavoro dettagliato per la segnalazione degli incidenti

Per rispettare le rigide tempistiche di segnalazione, le aziende dovrebbero seguire un processo strutturato:

Passo 1 – Rilevamento: L’incidente viene rilevato da strumenti di monitoraggio o dal personale.
Passo 2 – Valutazione iniziale: Confermare l’ambito, l’impatto e se soddisfa la soglia di “incidente significativo”.
Passo 3 – Prima notifica: Entro 24 ore, inviare una segnalazione iniziale all’autorità nazionale competente (es. BSI in Germania, ANSSI in Francia).
Passo 4 – Contenimento & Ripristino: Isolare i sistemi interessati, iniziare il ripristino.
Passo 5 – Relazione di aggiornamento: Entro 72 ore, fornire dettagli sulla causa, le misure di mitigazione e il potenziale impatto transfrontaliero.
Passo 6 – Relazione finale: Entro un mese, presentare i risultati forensi completi e le misure di miglioramento.

Consiglio pro: I modelli di incidente automatizzati, come quelli di GetNistra, riducono drasticamente i tempi di segnalazione.

6. Tempistiche di conformità per paese

Mentre la scadenza a livello UE per il recepimento era il 17 ottobre 2024, ogni paese ha il proprio quadro di applicazione:

  • Germania – Implementata tramite l’IT-Sicherheitsgesetz 3.0 (IT-SiG 3.0); supervisionata dal BSI; primi audit previsti all’inizio del 2025.
  • Francia – Decreti nazionali sotto l’ANSSI; guida specifica per settore pubblicata nel 2024; ispezioni a partire dal Q4 2025.
  • Italia – Decreto Legislativo n. 138/2024; supervisionato dall’ACN; implementazione graduale, valutazioni dei rischi previste per metà 2025.
  • Paesi Bassi – Legge sulla sicurezza delle reti e dei sistemi informativi aggiornata; applicata dal NCSC-NL; revisioni di conformità a partire dalla fine del 2025.

7. Sfide comuni di conformità

  • Consapevolezza del consiglio di amministrazione – Molti dirigenti vedono ancora la cybersicurezza come una questione puramente informatica.
  • Complessità della catena di approvvigionamento – Le PMI possono dipendere da dozzine di piccoli fornitori.
  • Prontezza agli incidenti – Senza automazione, la segnalazione in 24 ore è difficile.
  • Operazioni transfrontaliere – Diverse autorità di vigilanza possono richiedere formati diversi.

8. NIS2 vs. ISO 27001: Come si relazionano

Requisito NIS2Equivalente ISO 27001
Misure di gestione del rischioControlli dell’Annesso A
Segnalazione degli incidentiA.16 (Gestione degli incidenti)
Sicurezza della catena di approvvigionamentoA.15 (Relazioni con i fornitori)
Responsabilità a livello dirigenzialeClausole sulla leadership
Prontezza agli auditMonitoraggio & revisione dell’ISMS

Concetto chiave: La certificazione ISO 27001 è una solida base ma non una garanzia di conformità alla NIS2.

9. Idee sbagliate sulla NIS2

  1. “Solo le grandi aziende sono interessate” – Falso. Anche le entità più piccole nelle catene di approvvigionamento critiche possono essere incluse.
  2. “È solo un progetto IT” – Sbagliato. È un requisito di governance che riguarda l’intera organizzazione.
  3. “Se abbiamo la ISO 27001, siamo già conformi” – Non necessariamente; la NIS2 aggiunge requisiti di segnalazione degli incidenti e di responsabilità dirigenziale.
  4. “Possiamo aspettare che inizi l’applicazione” – Pericoloso; alcune misure richiedono mesi per essere implementate.

10. Integrazione con altri regolamenti UE

La NIS2 si sovrappone a diversi altri regolamenti:

  • GDPR – Gli obblighi di segnalazione degli incidenti possono sovrapporsi, ma la NIS2 si concentra sulla sicurezza dei sistemi, non sui dati personali.
  • DORA – Si applica al settore finanziario, con norme complementari sulla resilienza ICT.
  • Direttiva CER – Copre la resilienza fisica delle entità critiche, spesso parallelamente alle misure NIS2.

Un approccio integrato alla conformità riduce la duplicazione degli sforzi.

11. Sanzioni per non conformità

  • Soggetti Essenziali – fino a 10 M€ o 2% del fatturato globale
  • Soggetti Importanti – fino a 7 M€ o 1,4% del fatturato globale
  • Possibili divieti per i dirigenti, divulgazione pubblica delle violazioni ed esclusione contrattuale dagli appalti pubblici.

12. Contesto globale

La NIS2 fa parte di una tendenza globale verso una regolamentazione della cybersicurezza più rigorosa:

  • Stati Uniti – Le direttive CISA richiedono la segnalazione per le infrastrutture critiche entro 72 ore.
  • Regno Unito – Il NCSC supervisiona norme simili per gli Operatori di Servizi Essenziali.

Questo rende la conformità alla NIS2 non solo un obbligo legale, ma un vantaggio per la competitività internazionale.

13. Passi pratici per iniziare oggi

  1. Identifica se la tua organizzazione è classificata come Essenziale o Importante.
  2. Mappa i tuoi controlli attuali rispetto ai requisiti NIS2.
  3. Stabilisci un processo di risposta agli incidenti in grado di rispettare la scadenza di 24 ore.
  4. Rivedi i contratti per gli obblighi di cybersicurezza dei fornitori.
  5. Pianifica briefing a livello dirigenziale sulla responsabilità personale.

14. Domande Frequenti (FAQ)

D: La NIS2 si applica alle piccole imprese?
Sì, se forniscono servizi o prodotti critici in una catena di approvvigionamento coperta.

D: Quanto presto dovremmo iniziare a prepararci?
Immediatamente — gli audit possono avvenire con poco preavviso una volta che la direttiva è in vigore.

D: Possiamo esternalizzare la conformità?
È possibile esternalizzare i processi, ma non la responsabilità.

15. Come GetNistra ti aiuta a conformarti più velocemente

La conformità manuale è costosa e richiede tempo. La piattaforma basata su IA di GetNistra automatizza fino al 70% del processo:

  • Analisi delle lacune rispetto ai controlli NIS2 e ISO 27001.
  • Generazione automatizzata di policy su misura per il tuo settore e le tue dimensioni.
  • Modelli di segnalazione degli incidenti allineati alle linee guida ENISA.
  • Monitoraggio del rischio dei fornitori lungo tutta la catena di approvvigionamento.

→ Richiedi oggi la tua Roadmap NIS2 gratuita generata dall’IA e scopri quanto velocemente puoi colmare le lacune di conformità.

Riferimenti:
Direttiva (UE) 2022/2555 – Testo ufficiale
ENISA – Linee guida NIS2
BSI – Legge tedesca sulla sicurezza informatica
ANSSI – Implementazione della NIS2 in Francia
ACN – Agenzia per la Cybersicurezza Nazionale
NCSC-NL – Guida NIS2