Direttiva NIS2: cosa cambia per la cybersecurity delle aziende

La NIS2 è la direttiva europea (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi. In Italia è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, e l'autorità competente è l'Agenzia per la cybersicurezza nazionale (ACN). Impone ai soggetti che rientrano nel suo ambito di gestire il rischio informatico in modo documentato, di notificare gli incidenti significativi e di rendere gli organi di amministrazione responsabili della sicurezza.

La domanda che arriva più spesso alle aziende è se la norma le riguardi. La risposta dipende dal settore e dalle dimensioni, e non si ricava a occhio: in questo articolo trovi il quadro generale al novembre 2026, gli obblighi principali e un percorso operativo per iniziare. Non è una consulenza legale: per stabilire l'applicabilità al tuo caso serve una verifica puntuale, con un consulente e con le indicazioni dell'ACN.

A chi si applica

Secondo le FAQ dell'ACN, rientrano i soggetti riconducibili alle tipologie previste dal decreto che sono medie o grandi imprese ai sensi della raccomandazione 2003/361/CE. Le micro e piccole imprese restano in genere fuori, salvo eccezioni. I settori sono 18: 11 altamente critici e 7 critici, per oltre 80 tipologie di soggetti elencate negli allegati del decreto. L'ACN può inoltre individuare altri soggetti su proposta delle autorità di settore.

I soggetti sono distinti in essenziali e importanti, in base alla criticità delle attività e del settore. La distinzione conta perché cambiano il livello di vigilanza e le sanzioni massime. Sul sito dell'ACN ogni soggetto che si riconosce in un settore deve registrarsi sulla piattaforma dedicata.

Per capire dove ti collochi, in pratica servono tre passaggi:

1. Settore e attività: confronta ciò che l'azienda fa davvero con gli allegati del decreto, non solo con il codice ATECO.
2. Dimensione: verifica il numero di addetti e i valori di bilancio, tenendo conto anche delle società collegate.
3. Registrazione: controlla se l'azienda risulta già nell'elenco dei soggetti NIS e se il punto di contatto è stato designato.

Gli obblighi principali

Gli obblighi riguardano l'intera infrastruttura informatica e le tre dimensioni della sicurezza: riservatezza, integrità e disponibilità. Sono quattro i blocchi da conoscere.

• Governance: gli organi di amministrazione e direttivi approvano le misure di sicurezza, ne sovrintendono l'attuazione e sono responsabili delle eventuali violazioni. La sicurezza non si può delegare per intero al fornitore IT.
• Gestione del rischio: le misure sono proporzionate al rischio e comprendono, tra l'altro, analisi dei rischi, gestione degli incidenti, continuità operativa con backup e ripristino, sicurezza della catena di fornitura, gestione delle vulnerabilità, formazione, controllo degli accessi e autenticazione a più fattori.
• Notifica degli incidenti: per un incidente significativo si invia al CSIRT Italia una pre-notifica entro 24 ore dalla conoscenza, una notifica entro 72 ore e una relazione finale entro un mese.
• Sanzioni: il regime è allineato a quello del GDPR. La direttiva prevede massimi di almeno 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali e di almeno 7 milioni o l'1,4% per quelli importanti.

Scadenze e stato al novembre 2026

Il calendario italiano è a tappe e dipende da quando il soggetto è entrato nell'elenco. Per i soggetti registrati nella prima fase, l'ACN indica la notifica degli incidenti significativi come obbligatoria da gennaio 2026 e l'adozione delle misure di sicurezza di base entro ottobre 2026. Per i soggetti aggiunti nel 2026 le date sono successive: notifica degli incidenti dal 1° gennaio 2027 e misure di base entro luglio 2027.

Altre date utili, sempre secondo l'ACN:

• l'aggiornamento annuale delle informazioni si fa ogni anno dal 15 aprile al 31 maggio;
• le variazioni successive vanno comunicate entro quattordici giorni;
• la prossima finestra di registrazione o aggiornamento dell'elenco va dal 1° gennaio al 28 febbraio 2027;
• è in corso una consultazione pubblica su misure di sicurezza rafforzate, che integreranno e sostituiranno quelle di base della prima fase.

Poiché termini e determinazioni cambiano, prima di decidere controlla sempre la pagina NIS dell'ACN e la Gazzetta Ufficiale.

Se non sei soggetto, la NIS2 ti riguarda lo stesso

Le misure della norma includono la sicurezza della catena di approvvigionamento. Un'azienda soggetta deve quindi valutare i propri fornitori, e questo si traduce in questionari, clausole contrattuali e richieste di evidenze. Un fornitore di servizi IT, un'azienda di logistica o un produttore che lavora per un cliente soggetto può ricevere queste richieste anche se non è mai stato inserito in un elenco.

Chi riceve un questionario di sicurezza dovrebbe saper rispondere a domande molto concrete: dove sono i dati, chi ha accesso ai sistemi, ogni quanto si fanno i backup e come si ripristinano, cosa succede se un account viene compromesso. Se le risposte non sono documentate, il lavoro vero è produrle, più che compilare il modulo.

Da dove partire: una checklist proporzionata

Anche senza un obbligo diretto, le misure della NIS2 sono una buona base per un'azienda di qualsiasi dimensione. Un ordine di lavoro realistico:

1. Inventario: elenca server, PC, apparati di rete, servizi cloud e software, con un responsabile per ciascuno.
2. Servizi critici: individua i processi che, se fermi, bloccano l'attività, e da quali sistemi dipendono.
3. Accessi: attiva l'autenticazione a più fattori sugli account amministrativi e sulla posta, elimina gli account condivisi e rimuovi quelli degli ex collaboratori.
4. Aggiornamenti: definisci chi applica le patch e con quale frequenza, a partire dai sistemi esposti a Internet.
5. Backup e ripristino: non basta avere copie, va provato il ripristino. Il metodo generale è nella guida ai backup.
6. Incidenti: scrivi una procedura di una pagina con chi chiamare, chi decide e quali sistemi isolare, e provala una volta.
7. Fornitori: elenca chi ha accesso ai tuoi sistemi o ai tuoi dati e cosa prevede il contratto sulla sicurezza.
8. Persone: forma chi gestisce la posta e i pagamenti sui tentativi di phishing e sulle richieste anomale.

Questo lavoro si sviluppa a livello organizzativo prima che tecnico. Comprare un prodotto di sicurezza non sostituisce la documentazione, le responsabilità assegnate e le prove periodiche. Tech Care segue questi aspetti per le piccole aziende, in gran parte da remoto, nel servizio di reti e sicurezza: lo scopo è portare l'infrastruttura a un livello difendibile e documentato, senza promettere certificazioni di conformità che spettano ad altri.

Il prossimo passo

Parti dall'inventario e dalla verifica dell'ambito: sono i due passaggi che servono comunque, qualunque sia l'esito. Se ti arriva un questionario di un cliente, o se vuoi sapere quali controlli tecnici mancano alla tua rete, puoi descrivere la situazione con la richiesta guidata. Per l'inquadramento giuridico dell'azienda rivolgiti a un consulente legale esperto della materia, che potrà usare le fonti ufficiali, a partire dal testo della direttiva su EUR-Lex.