NIS2: cosa devono fare davvero le aziende dei settori critici
4 min di lettura
La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il decreto legislativo 138/2024. A differenza della prima NIS, non riguarda più una lista ristretta di operatori: coinvolge migliaia di aziende italiane, molte delle quali lo hanno scoperto solo al momento di registrarsi. Questa nota spiega chi rientra, cosa viene chiesto davvero e — soprattutto — da dove cominciare.
Chi rientra
La direttiva distingue due categorie: soggetti essenziali e soggetti importanti. La logica è semplice: settori ad alta criticità (energia, trasporti, sanità, acque, infrastrutture digitali, pubblica amministrazione) e settori critici (manifattura di determinati prodotti, chimica, alimentare, gestione rifiuti, servizi postali, tra gli altri), incrociati con la dimensione aziendale — di regola dai 50 dipendenti o 10 milioni di fatturato in su.
Il punto che sorprende molte imprese: nella manifattura rientrano i produttori di dispositivi medici, elettronica, macchinari e autoveicoli. In un territorio come l’Emilia-Romagna — meccanica e automotive, biomedicale, impiantistica — significa che una parte consistente del tessuto produttivo è dentro il perimetro, spesso senza saperlo. E anche chi non rientra direttamente viene raggiunto dagli obblighi attraverso la catena di fornitura: i soggetti NIS2 devono valutare la sicurezza dei propri fornitori.
Cosa chiede davvero
Tolto il legalese, gli obblighi si riducono a quattro famiglie:
-
Governance e responsabilità. Gli organi di amministrazione approvano le misure di gestione del rischio, ne sorvegliano l’attuazione e rispondono delle violazioni. Non è più delegabile in toto all’IT: la sicurezza diventa una responsabilità del vertice, con obbligo di formazione.
-
Gestione del rischio. Misure tecniche e organizzative proporzionate: analisi dei rischi, sicurezza della catena di fornitura, gestione degli incidenti, continuità operativa, cifratura, controllo degli accessi, igiene informatica di base. La parola chiave è proporzionate: nessuno chiede a un’azienda da 60 dipendenti il SOC di una banca — chiede che i rischi siano stati capiti e presidiati.
-
Notifica degli incidenti. Gli incidenti significativi vanno notificati all’Agenzia per la Cybersicurezza Nazionale: preallarme entro 24 ore, notifica entro 72, relazione finale entro un mese. Per rispettare questi tempi bisogna accorgersi dell’incidente — ed è qui che la maggior parte delle organizzazioni scopre di non avere visibilità sui propri sistemi.
-
Registrazione e aggiornamento. I soggetti si registrano sulla piattaforma dell’Agenzia e mantengono aggiornate le proprie informazioni, con finestre annuali per la conferma.
Le sanzioni non sono simboliche: fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l’1,4% per gli importanti.
Il vero prerequisito: sapere cosa avete
La lettura più utile della NIS2 non è “un altro adempimento”: è un inventario forzato. Non si può proteggere ciò che non si conosce, e non si può notificare in 24 ore un incidente che non si vede. Prima delle tecnologie di sicurezza, la direttiva chiede — implicitamente ma inevitabilmente — tre capacità di base:
- Un inventario reale di sistemi, dati e flussi: quali macchine parlano con quali sistemi, dove risiedono i dati, chi vi accede.
- Visibilità continua: la capacità di accorgersi che qualcosa è cambiato — un accesso anomalo, un flusso inatteso, un sistema che si comporta diversamente — mentre accade, non nel report del trimestre.
- Un processo di risposta in cui ruoli e decisioni sono chiari prima dell’incidente, non durante.
Sono le stesse fondamenta di qualunque uso serio dei dati. Un’organizzazione che ha collegato i propri sistemi in un modello operativo unico — chi produce quali dati, cosa significano, come fluiscono — ha già fatto la parte difficile della NIS2. E il monitoraggio continuo che la direttiva richiede è lo stesso su cui poggia l’AI operativa: agenti che leggono i flussi in tempo reale e portano le anomalie all’attenzione di un operatore.
Da dove cominciare
Se la vostra azienda rientra (o non ne è sicura), l’ordine sensato è questo:
- Verificate il perimetro: settore e soglie dimensionali. In caso di dubbio, la verifica costa un’ora; scoprirlo dall’Agenzia costa di più.
- Fate l’inventario di sistemi e dati critici — quello vero, non l’organigramma IT di tre anni fa.
- Misurate la distanza tra ciò che la direttiva chiede e ciò che avete: gap analysis onesta, priorità sui rischi maggiori.
- Costruite la visibilità: senza monitoraggio continuo, i tempi di notifica sono inarrivabili.
- Formalizzate governance e processo di risposta, e portateli in consiglio: la responsabilità è lì.
La conformità si può affrontare come un costo o come un’occasione per mettere ordine nei propri dati — e da quell’ordine far discendere tutto il resto, dalla sicurezza all’automazione. Il nostro punto di vista, per costruzione, è il secondo: è lo stesso principio della nostra dual-use compliance, dove il vincolo normativo è parte del progetto, non un ostacolo.
Volete capire dove siete rispetto al perimetro NIS2 e cosa manca? Una sessione di 30 minuti con un nostro esperto è il modo più rapido per scoprirlo.