Direttiva NIS2, spiegata come la spiego ai miei clienti

La NIS2 è la Direttiva (UE) 2022/2555, la seconda versione della normativa europea sulla sicurezza delle reti e dei sistemi informativi. L'obiettivo dichiarato è alzare il livello minimo di cybersicurezza delle organizzazioni che, se si fermano o vengono compromesse, trascinano con sé un pezzo di paese: energia, trasporti, sanità, acqua, banche, filiera digitale e molto altro.

In Italia è stata recepita con il D.Lgs. 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024. L'autorità che la applica sul territorio nazionale è l'Agenzia per la Cybersicurezza Nazionale (ACN), attraverso il portale di registrazione dei soggetti NIS e il CSIRT Italia, il centro che riceve le segnalazioni di incidente.

Ho letto decine di articoli che la riducono a una lista di scadenze da rispettare. Non è sbagliato, ma è un modo pigro di guardarla. La NIS2 cambia qualcosa di più profondo: sposta la responsabilità della sicurezza informatica dal reparto IT al vertice aziendale. Prima, un incidente era un problema tecnico da risolvere in silenzio. Ora, per chi rientra nel perimetro, è un fatto che l'amministratore deve conoscere, approvare e, se qualcosa va storto, spiegare in prima persona.

Ed è anche il motivo per cui, quando entro in un'azienda per un primo colloquio su NIS2, non parto mai dal firewall. Parto da chi decide, perché è lì che la norma chiede di intervenire per primo.

Il perimetro si stabilisce incrociando due criteri: il settore in cui opera l'azienda e la sua dimensione. Come regola generale, rientrano le medie e grandi imprese, indicativamente da 50 dipendenti o 10 milioni di euro di fatturato/bilancio in su, che operano in uno dei settori elencati negli allegati della direttiva. Ci sono eccezioni in entrambe le direzioni: alcuni soggetti (gestori di reti pubbliche di comunicazione, PA, registri TLD) rientrano a prescindere dalla dimensione, mentre altre imprese più piccole possono essere incluse se coprono un ruolo critico specifico nella propria filiera.

La direttiva distingue due categorie, con obblighi di sicurezza sostanzialmente identici ma vigilanza diversa: i soggetti essenziali (energia, trasporti, sanità, acqua potabile, banche, infrastrutture dei mercati finanziari, infrastrutture digitali, PA, spazio) sono sottoposti a controlli proattivi da parte di ACN; i soggetti importanti (servizi postali, gestione rifiuti, chimica, produzione alimentare, manifatturiero, fornitori digitali come marketplace e motori di ricerca, ricerca) sono verificati in modo reattivo, cioè dopo una segnalazione o un incidente.

C'è poi una terza categoria, molto più numerosa di quanto si pensi: le aziende che non rientrano formalmente nel perimetro ma sono fornitrici di chi ci rientra. Un produttore metalmeccanico con 30 dipendenti non è un soggetto NIS2, ma se lavora per un'azienda essenziale, prima o poi troverà nel contratto una clausola che gli chiede di dimostrare la propria sicurezza informatica. La NIS2, in questo senso, si propaga lungo la catena molto oltre il suo perimetro giuridico.

Qui la maggior parte delle aziende si perde, perché la norma stessa parla di principi (gestione del rischio, sicurezza della supply chain, crittografia) e lascia all'autorità nazionale il compito di tradurli in misure verificabili. L'ACN lo ha fatto con le specifiche di base: 37 misure per i soggetti importanti (Allegato 1) e 43 per i soggetti essenziali (Allegato 2), organizzate per macro-aree: governance e gestione del rischio, inventario di asset e supply chain, gestione delle vulnerabilità, backup e continuità operativa, controllo degli accessi (autenticazione a più fattori inclusa), sicurezza fisica e gestione degli incidenti.

Non è un elenco da spuntare in un pomeriggio. La maggior parte delle aziende con cui lavoro ha già in casa un pezzo consistente di queste misure, magari senza saperlo: un backup fatto bene, un firewall configurato correttamente, un antivirus centralizzato. Il problema quasi mai è la tecnologia mancante. È che quelle misure non sono mai state scritte, misurate, testate o assegnate a un responsabile con nome e cognome. La NIS2 chiede esattamente questo passaggio: da prassi informale a processo documentato e verificabile.

Nella mia esperienza, i punti dove le aziende italiane restano più scoperte sono tre: la gestione degli accessi privilegiati (account admin condivisi, nessuna revoca automatica quando qualcuno lascia l'azienda), il risk assessment formale (fatto una volta, mai aggiornato) e la sicurezza dei fornitori critici, di cui parlo nella sezione successiva.

Se dovessi indicare dove si gioca l'adeguamento vero, non sarebbe sull'antivirus. Sarebbero due cose: la capacità di accorgersi di un incidente e notificarlo nei tempi corretti, e il controllo su chi ha accesso ai sistemi lungo la catena dei fornitori.

Sul primo punto, la NIS2 impone tempi stretti: 24 ore per una pre-notifica al CSIRT Italia, 72 ore per una notifica più completa, e una relazione finale entro 30 giorni. Sembrano scadenze burocratiche finché non ci si prova davvero: la maggior parte delle aziende non ha un piano scritto che dica chi alza il telefono, con quali informazioni e verso chi, quando qualcosa va storto alle tre di notte di un sabato.

Sul secondo, la supply chain è diventata il punto debole preferito di chi attacca, semplicemente perché è più facile entrare da un fornitore piccolo e poco protetto che da un'azienda strutturata. La norma chiede di valutare la postura di sicurezza dei fornitori critici e di inserire clausole contrattuali su sicurezza e notifica incidenti. In pratica, significa rifare i contratti di fornitura IT con un occhio che prima non c'era.

A regime, per le violazioni sostanziali (misure di sicurezza mancanti, incidenti non notificati), le sanzioni amministrative arrivano fino a 10 milioni di euro o il 2% del fatturato globale annuo per i soggetti essenziali, e fino a 7 milioni di euro o l'1,4% per i soggetti importanti: si applica sempre l'importo più alto tra i due. Per le pubbliche amministrazioni le sanzioni vanno da 25.000 a 125.000 euro. A questo si aggiungono i poteri di ACN di sospendere certificazioni e autorizzazioni, e, per chi non si adegua dopo una diffida formale, di sospendere temporaneamente chi ricopre funzioni dirigenziali o di rappresentanza legale dalle proprie responsabilità.

È questo l'ultimo punto, quello sulla responsabilità personale, che di solito cambia il tono della conversazione con un consiglio di amministrazione. Non stiamo più parlando di un budget IT da approvare. Stiamo parlando di una responsabilità che la norma chiede espressamente agli organi di amministrazione e direttivi di esercitare in prima persona, con formazione documentata e supervisione attiva sulla gestione del rischio.