NIS2: la tua azienda è obbligata? Criteri, catena di fornitura e cosa fare

NIS2 in due parole

La NIS2 (direttiva UE 2022/2555, recepita in Italia con il D.lgs. 138/2024) è la normativa europea sulla sicurezza informatica di reti e sistemi. Sostituisce la vecchia NIS del 2016 e allarga di molto il perimetro: non più solo energia, trasporti e banche, ma anche manifattura, alimentare, gestione rifiuti, servizi digitali, pubblica amministrazione e molto altro. L'obiettivo è alzare il livello minimo di sicurezza informatica di tutto il tessuto produttivo europeo, PMI comprese.

I criteri: settore + dimensione

Per capire se la tua azienda rientra tra i soggetti NIS2 servono due verifiche. La prima è il settore: la direttiva elenca 18 settori tra ''altamente critici'' (energia, trasporti, sanità, acqua, infrastrutture digitali, PA...) e ''critici'' (servizi postali, gestione rifiuti, chimica, alimentare, manifattura di dispositivi medici, elettronica, macchinari, autoveicoli, fornitori di servizi digitali...). La seconda è la dimensione: in linea generale rientrano le medie imprese (da 50 dipendenti o 10 milioni di fatturato) e le grandi imprese dei settori elencati, con alcune eccezioni che si applicano a prescindere dalla dimensione.

Il punto che quasi tutti sottovalutano: la catena di fornitura

Anche se la tua azienda non rientra direttamente nei criteri, la NIS2 ti può arrivare addosso lo stesso: i soggetti obbligati devono garantire la sicurezza della propria catena di approvvigionamento. Tradotto: se sei fornitore di un'azienda soggetta a NIS2 — un'azienda alimentare, un'azienda di trasporti, una utility, un ospedale — è molto probabile che il tuo cliente inizi a chiederti garanzie contrattuali sulla tua sicurezza informatica: policy, backup, gestione degli incidenti, autenticazione. Chi non sa rispondere rischia di perdere commesse, prima ancora delle sanzioni.

Cosa chiede concretamente la NIS2

• Analisi dei rischi e politiche di sicurezza dei sistemi informativi
• Gestione degli incidenti: capacità di rilevarli, gestirli e notificarli (entro 24 ore il preallarme al CSIRT)
• Continuità operativa: backup, disaster recovery, gestione delle crisi
• Sicurezza della catena di approvvigionamento
• Sicurezza nell'acquisto, sviluppo e manutenzione dei sistemi
• Cifratura e autenticazione a più fattori dove appropriato
• Formazione del personale e igiene informatica di base
• Responsabilità diretta degli organi di gestione: gli amministratori rispondono personalmente delle violazioni

Le sanzioni

Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (se superiore); per i soggetti importanti fino a 7 milioni o all'1,4%. Ma per una PMI il rischio più concreto e immediato non è la multa: è il blocco operativo dopo un attacco e la perdita di clienti che chiedono garanzie che non puoi dare.

Da dove iniziare: i primi 5 passi

• Verifica formale del perimetro: rientri direttamente? Sei fornitore di soggetti obbligati? (la registrazione avviene sulla piattaforma ACN)
• Fotografia dello stato attuale: un assessment onesto di backup, aggiornamenti, accessi, MFA, formazione
• Piano di adeguamento con priorità: prima le misure che riducono davvero il rischio (backup testati, MFA, patch), poi la documentazione
• Procedure di gestione incidenti: chi fa cosa, chi notifica, in quali tempi
• Coinvolgimento della direzione: la NIS2 rende la sicurezza una responsabilità del management, non ''una cosa dell'IT''

Quanto tempo e quanto costa?

Dipende dal punto di partenza. Un'azienda con 20-50 postazioni e un'infrastruttura ordinata può raggiungere un livello di conformità sostanziale in 3-6 mesi, lavorando per priorità. I costi si dividono tra misure tecniche (spesso già dovute a prescindere dalla NIS2: backup seri, MFA, monitoraggio) e attività organizzative (policy, procedure, formazione). Il modo più costoso di affrontare la NIS2 è ignorarla e ritrovarsi a farla di corsa dopo una richiesta di un cliente o un incidente.

Il primo passo concreto (gratuito)

Se vuoi capire in 10 domande dove sei rispetto ai requisiti NIS2, abbiamo preparato un check di autovalutazione gratuito: rispondi sì o no a 10 domande operative e ottieni subito un punteggio di rischio con le priorità da sistemare. Lo trovi qui: www.nexivo.it/lp/check-nis2/ — oppure chiamaci allo 045 390 3947 e ne parliamo direttamente.