NIS 2: cos'è, a chi si applica e quali obblighi prevede
La NIS 2 è la direttiva europea (UE) 2022/2555 che stabilisce un livello comune e più elevato di cybersicurezza nell'Unione. Impone a un numero molto più ampio di organizzazioni, pubbliche e private, di gestire il rischio informatico, di notificare gli incidenti significativi e di rispondere in prima persona, con i vertici aziendali, della sicurezza di reti e sistemi. In Italia è stata recepita con il D.Lgs. 138/2024. Questa guida spiega cos'è, chi è coinvolto, quali obblighi prevede e come iniziare ad adeguarsi.
Cos'è la NIS 2 in breve
La direttiva NIS 2 sostituisce la prima direttiva NIS del 2016. Nasce dall'esigenza di rispondere a minacce informatiche in crescita e a una applicazione molto disomogenea delle regole tra gli Stati membri. Rispetto al testo precedente, la nuova disciplina:
- amplia i settori coinvolti, includendo anche comparti come la gestione dei rifiuti, la produzione manifatturiera, i servizi digitali e la ricerca;
- introduce un criterio dimensionale più chiaro, basato sulla grandezza dell'organizzazione;
- definisce un elenco minimo di misure di gestione del rischio;
- prevede tempi precisi per la notifica degli incidenti;
- rafforza vigilanza e sanzioni;
- attribuisce responsabilità dirette agli organi di amministrazione e direzione.
L'obiettivo non è la sola conformità documentale. La direttiva chiede di dimostrare che la sicurezza informatica è governata, misurata e migliorata nel tempo.
A chi si applica: soggetti essenziali e importanti
La direttiva si rivolge a due categorie di organizzazioni, definite soggetti essenziali e soggetti importanti. L'appartenenza dipende da due fattori: il settore di attività e la dimensione.
I settori
I settori sono elencati in due allegati:
- Allegato I, settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT (business-to-business), pubblica amministrazione e spazio.
- Allegato II, altri settori critici: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione di determinati prodotti (dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, veicoli), fornitori di servizi digitali come mercati online, motori di ricerca e social network, e ricerca.
La dimensione
In linea generale rientrano le organizzazioni che operano in questi settori e sono almeno medie imprese, cioè con almeno 50 dipendenti oppure con fatturato annuo o totale di bilancio superiore a 10 milioni di euro. Per alcune categorie, come certi fornitori di servizi digitali o di infrastrutture critiche, l'applicazione può scattare indipendentemente dalle dimensioni.
Essenziali o importanti?
Di norma sono essenziali le grandi organizzazioni dei settori dell'Allegato I. Sono importanti le altre organizzazioni coinvolte, incluse le medie imprese dell'Allegato I e le imprese medie e grandi dell'Allegato II. Gli obblighi di fondo sono gli stessi. Cambiano l'intensità della vigilanza e il livello massimo delle sanzioni: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni di euro o all'1,4% per quelli importanti.
Il recepimento in Italia: D.Lgs. 138/2024
Gli Stati membri dovevano recepire la direttiva entro il 17 ottobre 2024. L'Italia lo ha fatto con il Decreto legislativo 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024. Il decreto individua nell'Agenzia per la Cybersicurezza Nazionale (ACN) l'autorità nazionale competente e punto di contatto unico.
Il percorso italiano prevede alcuni passaggi concreti per le organizzazioni:
- Registrazione sulla piattaforma ACN, dove i soggetti che ritengono di rientrare nell'ambito di applicazione forniscono le informazioni richieste.
- Comunicazione dell'elenco dei soggetti da parte dell'ACN, che segna l'avvio dei termini per gli obblighi successivi.
- Applicazione graduale degli obblighi di notifica degli incidenti e delle misure di sicurezza, secondo le scadenze fissate dal decreto e dalle determinazioni dell'ACN.
Le date operative possono essere precisate o aggiornate dall'autorità, quindi conviene verificarle sempre sui canali ufficiali dell'ACN.
Gli obblighi principali: governance, misure di sicurezza, notifica degli incidenti
Gli obblighi della norma si possono raggruppare in tre blocchi.
Governance
Gli organi di amministrazione e direzione devono approvare le misure di gestione del rischio, supervisionarne l'attuazione e rispondere delle eventuali violazioni. La cybersicurezza diventa quindi un tema di governo dell'organizzazione e non solo del reparto IT.
Misure di sicurezza
L'articolo 21 della direttiva richiede misure tecniche, operative e organizzative adeguate e proporzionate ai rischi, secondo un approccio multirischio che protegga reti, sistemi informativi e il loro ambiente fisico. Proporzionalità significa tenere conto di dimensione, esposizione al rischio, costi e probabilità e gravità degli incidenti.
Notifica degli incidenti
Gli incidenti significativi vanno notificati all'autorità competente (in Italia il CSIRT Italia, presso l'ACN) con una sequenza a più fasi:
- preallarme entro 24 ore dalla conoscenza dell'incidente;
- notifica dell'incidente entro 72 ore, con una prima valutazione di gravità e impatto;
- relazione finale entro un mese dalla notifica.
Serve quindi una procedura interna che permetta di riconoscere in fretta un incidente, valutarne la significatività e raccogliere le informazioni da comunicare.
Le 15 aree di politiche e procedure da documentare
L'articolo 21 della direttiva elenca dieci misure minime. Nella pratica, per trasformarle in un sistema documentato e verificabile, le organizzazioni le declinano in un insieme più ampio di politiche e procedure. Una suddivisione operativa in 15 aree, che riprende le misure minime, è la seguente:
- politica di sicurezza delle informazioni e dei sistemi;
- analisi e gestione del rischio;
- gestione degli asset (inventario di sistemi, dati e servizi);
- gestione degli incidenti;
- continuità operativa, backup e disaster recovery;
- gestione delle crisi;
- sicurezza della catena di approvvigionamento;
- sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi;
- gestione e divulgazione delle vulnerabilità;
- valutazione dell'efficacia delle misure adottate;
- igiene informatica e formazione;
- crittografia e cifratura;
- sicurezza delle risorse umane;
- controllo degli accessi e gestione dei privilegi;
- autenticazione a più fattori e comunicazioni sicure.
Non esiste un unico modello valido per tutti. Ogni politica va calibrata sul contesto dell'organizzazione, assegnando responsabilità, tempi di revisione e indicatori che consentano di dimostrare l'effettiva applicazione.
Supply chain e fornitori ICT
Una delle novità più rilevanti è l'attenzione alla sicurezza della catena di approvvigionamento. Le organizzazioni devono considerare le vulnerabilità specifiche di ciascun fornitore diretto e la qualità complessiva delle pratiche di cybersicurezza dei loro partner, incluse le procedure di sviluppo sicuro.
In concreto significa:
- mappare i fornitori critici, in particolare quelli ICT, cloud e di servizi gestiti;
- valutarne il livello di sicurezza prima e durante il rapporto contrattuale;
- inserire nei contratti requisiti di sicurezza, obblighi di notifica degli incidenti e diritti di verifica;
- prevedere piani di uscita o alternative per i servizi essenziali.
Anche chi non rientra direttamente nell'ambito di applicazione può ricevere richieste di adeguamento dai propri clienti soggetti alla norma. La conformità si estende così lungo tutta la filiera.
Formazione del personale e responsabilità degli organi direttivi
La direttiva impone che i membri degli organi di gestione seguano una formazione specifica in materia di cybersicurezza, per poter valutare rischi e pratiche di gestione. Si incoraggia inoltre a offrire formazione periodica anche ai dipendenti.
La responsabilità dei vertici ha conseguenze reali. Gli amministratori approvano le misure, ne controllano l'attuazione e possono essere chiamati a risponderne se l'organizzazione viola gli obblighi. Per questo è utile:
- mettere a verbale l'approvazione delle politiche di sicurezza;
- pianificare sessioni di formazione per il consiglio di amministrazione e per la direzione;
- ricevere report periodici su rischi, incidenti e stato di avanzamento;
- erogare formazione di base a tutto il personale, con particolare attenzione a phishing, gestione delle credenziali e segnalazione di anomalie.
Come iniziare un percorso di adeguamento
Per avviare l'adeguamento a NIS 2 è utile procedere per fasi, senza attendere di avere tutte le risposte:
- Verifica dell'ambito di applicazione. Controlla settore, dimensione e attività svolte rispetto agli allegati e alle indicazioni dell'ACN, e completa la registrazione se richiesta.
- Nomina dei responsabili. Individua un referente interno per la cybersicurezza e coinvolgi la direzione fin dall'inizio.
- Gap analysis. Confronta le misure già in essere con quelle richieste, partendo dagli asset e dai processi più critici.
- Piano di azione prioritario. Definisci interventi, responsabilità, budget e tempistiche, concentrandoti prima sui rischi più alti.
- Documentazione di politiche e procedure. Redigi i documenti essenziali, a cominciare da gestione del rischio, incidenti e continuità operativa.
- Verifica dei fornitori. Classifica i fornitori per criticità e aggiorna i contratti.
- Formazione e test. Forma persone e vertici ed esercita le procedure con simulazioni, per esempio sulla notifica di un incidente.
- Miglioramento continuo. Riesamina periodicamente misure e risultati, aggiornando il piano.
L'adeguamento è un processo continuativo. Chi parte presto e procede per priorità riduce sia il rischio informatico sia l'esposizione alle sanzioni.
Domande frequenti
La NIS 2 è un regolamento o una direttiva?
È una direttiva. Per questo ogni Stato membro l'ha recepita con una propria legge nazionale; in Italia si tratta del D.Lgs. 138/2024.
Una piccola impresa deve rispettare la direttiva?
Di norma no, perché il criterio generale riguarda le medie e grandi imprese. Esistono però eccezioni per specifiche categorie di soggetti, e le piccole imprese possono essere coinvolte indirettamente come fornitori di organizzazioni soggette alla norma.
Entro quanto tempo va notificato un incidente?
Occorre inviare un preallarme entro 24 ore, la notifica entro 72 ore e la relazione finale entro un mese dalla notifica.
Chi controlla l'applicazione in Italia?
L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità competente e vigila sul rispetto degli obblighi, con poteri ispettivi e sanzionatori.
Quali sono le sanzioni previste?
Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni di euro o all'1,4%.