La NIS2 rafforza il livello comune di cybersicurezza nell’Unione Europea e amplia in modo significativo la platea dei soggetti tenuti ad adottare misure organizzative, tecniche e procedurali più strutturate rispetto al passato.
Riferimenti normativi principali
- Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022, nota come NIS2.
- Recepimento nazionale attraverso il decreto legislativo 4 settembre 2024, n. 138, che disciplina obblighi, vigilanza e regime sanzionatorio in materia di sicurezza delle reti e dei sistemi informativi.
- Provvedimenti attuativi e indicazioni operative delle autorità competenti, da monitorare per scadenze, registrazioni e adempimenti di dettaglio.
Cosa prevede in concreto
La normativa richiede un approccio di governo del rischio più maturo. Non basta più avere qualche misura tecnica isolata: servono responsabilità chiare, processi documentati e controlli verificabili.
- analisi dei rischi e valutazione delle esposizioni critiche;
- misure per prevenzione, rilevazione e gestione degli incidenti;
- continuità operativa, backup, disaster recovery e ripristino;
- sicurezza della supply chain e dei fornitori ICT rilevanti;
- gestione delle vulnerabilità, aggiornamenti e controllo degli accessi;
- formazione del personale e consapevolezza dei ruoli aziendali;
- obblighi di segnalazione e notifica degli incidenti significativi.
Sanzioni e responsabilità
La NIS2 introduce un apparato sanzionatorio più incisivo, con possibili misure amministrative e prescrittive in caso di inadempienza. Per i soggetti importanti il mancato adeguamento può esporre, in linea generale, a sanzioni amministrative fino a 7 milioni di euro o all’1,4% del fatturato globale annuo, se superiore; per i soggetti essenziali la soglia può arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuo, se superiore.
La disciplina attribuisce inoltre rilievo diretto agli organi di amministrazione: la governance della sicurezza non può essere delegata in modo solo formale e, nei casi previsti, le autorità possono adottare anche misure personali, compreso il temporaneo divieto di esercitare funzioni dirigenziali. Restano inoltre possibili ulteriori profili di responsabilità civile, amministrativa o penale se dall’inadempimento derivano fatti ulteriormente rilevanti.
Chi dovrebbe attivarsi subito
Imprese e organizzazioni che operano nei settori coperti dalla direttiva dovrebbero verificare rapidamente il proprio perimetro applicativo e il livello di conformità effettivo. In via generale, il punto di attenzione riguarda soprattutto le medie e grandi imprese: quindi chi supera almeno 50 dipendenti oppure 10 milioni di euro di fatturato annuo e/o totale di bilancio dovrebbe fare una verifica senza attendere, fermo restando che l’applicabilità concreta dipende anche dal settore, dal sottosettore e da specifiche inclusioni previste dalla normativa.
Incarico e piano di adeguamento
E’ possibile assumere l’incarico per accompagnare l’organizzazione in un percorso di adeguamento graduale e sostenibile, costruito sulla situazione reale dell’ente o dell’azienda.
- assessment iniziale del contesto tecnico-organizzativo;
- mappatura asset, ruoli, processi e fornitori critici;
- analisi gap tra stato attuale e requisiti NIS2 applicabili;
- predisposizione di un piano di adeguamento con priorità, tempi e responsabilità;
- supporto documentale e operativo per misure, procedure e verifiche.
L’obiettivo non è produrre documenti formali scollegati dall’operatività, ma definire un percorso realistico che riduca il rischio, renda più robusti i sistemi e permetta di dimostrare le scelte effettuate.