Le “5 W” della NIS2
La direttiva NIS2 rafforza la cybersecurity nell’UE, imponendo misure rigorose a infrastrutture critiche e settori essenziali. Entro il 2026, mira ad innalzare il livello di sicurezza comune gestendo rischi, incidenti e supply chain.
Prevede responsabilità diretta del management e sanzioni elevate.
WHO?
WHAT?
WHEN?
WHERE?
WHY?
Si applica a entità “essenziali” e “importanti” in settori critici (energia, trasporti, banche, sanità, digitale, PA) con più di 50 dipendenti o oltre 10 milioni di euro di fatturato.
È la normativa europea che obbliga ad adottare misure di gestione del rischio cyber, sicurezza della supply chain, notifica degli incidenti e formazione del personale.
Entrata in vigore a gennaio 2023, gli Stati membri devono recepirla per renderla applicabile entro Ottobre 2026.
Si applica in tutti gli Stati membri dell’Unione Europea per armonizzare il livello di protezione digitale.
Per proteggere il mercato interno e le infrastrutture vitali dall’aumento delle minacce cyber, responsabilizzando i vertici aziendali.
I nostri servizi per la conformità
Verifica dell’applicabilità della NIS2, registrazione sulla piattaforma ACN, nomina del responsabile della sicurezza informatica e analisi del rischio documentata e aggiornata.
Progettazione, fornitura e posa in opera dell’infrastruttura IT/OT ad alte prestazioni, tramite installazione di dispositivi sicuri e affidabili. Oppure, analisi ed eventuale revamping della infrastruttura esistente.
Attuazione di politiche di backup e fornitura di tutti gli strumenti necessari al data retention. Supervisione processi e test a campione di recupero dati dalle varie fonti di backup.
Raccolta e gestione log in tempo reale da applicazioni, dispositivi e utenti. La sonda SIEM agisce come sensore per analizzare i dati, individuare minacce e supportare la conformità normativa, migliorando la visibilità sulla sicurezza.
Segmentazione della rete, fornitura di connettività di failover con aggregazione di banda e servizi di business continuity.
Scansione delle minacce presenti nella rete e penetration test periodici per testare la reale assenza di falle di sicurezza di tutti i dispositivi.
WHO?
Organizzazioni e settori interessati
La Direttiva NIS 2 riguarda tutte le organizzazioni che forniscono servizi identificati come essenziali o importanti per l’economia e la società europee. Se la tua organizzazione appartiene ad una delle categorie seguenti rientra nel campo di applicazione della NIS2.
| Settori Essenziali | Settori Importanti |
| Energia (elettricità, gas, petrolio, idrogeno) | Servizi postali e di corriere |
| Trasporti (aerei, ferroviari, acquatici, stradali) | Gestione dei rifiuti |
| Settore bancario e infrastrutture finanziarie | Fabbricazione di prodotti chimici |
| Sanità e infrastrutture digitali | Produzione alimentare |
| Acqua potabile e acque reflue | Fabbricazione (dispositivi medici, elettronica, macchinari) |
| Amministrazioni pubbliche | Fornitori digitali (marketplace, motori di ricerca, social network) |
I soggetti classificati come «essenziali» sono soggetti a obblighi più stringenti e a un regime di vigilanza più intenso rispetto ai soggetti «importanti».
Rientrano nell’ambito di applicazione della NIS2 le medie e grandi imprese operanti nei settori sopra indicati. Per «media impresa» si intende un’organizzazione con almeno 50 dipendenti o un fatturato annuo o totale di bilancio superiore a 10 milioni di euro. Alcune categorie sono soggette alla direttiva indipendentemente dalle dimensioni (es. fornitori di reti pubbliche di comunicazione elettronica, registrar di domini).
WHAT?
La direttiva NIS2 (UE 2022/2555) è la normativa europea sulla cybersecurity, in vigore dal gennaio 2023 e recepita in Italia per rafforzare la resilienza digitale di imprese e PA.
Sostituisce la NIS1, imponendo misure di sicurezza rigorose, gestione dei rischi e notifica obbligatoria degli incidenti entro 72 ore, con pesanti sanzioni.
Punti chiave della NIS2:
- A chi si applica: Riguarda “soggetti essenziali” (es. energia, trasporti, banche, sanità) e “importanti” (es. servizi postali, gestione rifiuti, chimica, alimenti, motori di ricerca).
- Obblighi principali: Analisi dei rischi, sicurezza delle catene di approvvigionamento (supply chain), gestione delle crisi e notifica rapida degli incidenti di sicurezza.
- Responsabilità: Gli organi di direzione aziendale sono direttamente responsabili della conformità e possono essere sanzionati personalmente.
- Sanzioni: Fino a 10 milioni di euro o al 2% del fatturato mondiale per soggetti essenziali; fino a 7 milioni di euro o 1,4% del fatturato per soggetti importanti.
Esempi di applicazione:
Supply Chain: Un’azienda manifatturiera deve garantire che i propri fornitori IT abbiano standard di sicurezza adeguati.
Settore Energia: Adozione di sistemi di sicurezza per reti SCADA/OT.
Fornitori di servizi digitali: Miglioramento della sicurezza dei data center e delle piattaforme social.
Sanità: Protezione dei dati dei pazienti e continuità operativa in caso di attacco ransomware.
WHEN?
L’Italia ha recepito la Direttiva NIS2 con il Decreto Legislativo n. 138 del 4 settembre 2024, entrato in vigore il 16 ottobre 2024. L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità nazionale competente designata per l’attuazione e la vigilanza.
Il decreto legislativo italiano prevede un’implementazione graduale degli obblighi:
- Entro il 17 gennaio 2025: i soggetti devono registrarsi sulla piattaforma digitale ACN
- Entro il 15 aprile 2025: l’ACN comunica ai soggetti registrati la classificazione (essenziale/importante)
- Dal 1° gennaio 2026: entrano in vigore gli obblighi di notifica degli incidenti
- Il 1° ottobre 2026: termine ultimo per l’adeguamento alle misure di sicurezza
- Dal 1° gennaio 2027: piena applicazione di tutti gli obblighi di sicurezza
I soggetti rientranti nell’ambito di applicazione devono registrarsi sul portale dell’ACN (acn.gov.it), fornendo informazioni sull’organizzazione, i settori di attività, e i referenti per la sicurezza. La mancata registrazione è sanzionabile.
L’articolo 23 della NIS2 introduce un regime di notifica obbligatoria degli incidenti significativi alle autorità nazionali competenti (in Italia, l’Agenzia per la Cybersicurezza Nazionale – ACN).
Le scadenze sono le seguenti:
| Fase | Scadenza | Contenuto |
| Preavviso | Entro 24 ore | Segnalazione iniziale con indicazione se l’incidente è sospettato doloso o cross-border |
| Notifica dell’incidente | Entro 72 ore | Aggiornamento con valutazione preliminare, gravità, indicatori di compromissione |
| Relazione finale | Entro 1 mese | Descrizione dettagliata, impatto, causa radice, misure adottate |
Un incidente è considerato «significativo» quando causa o può causare gravi interruzioni operative.
WHERE?
La Direttiva (UE) 2022/2555, comunemente nota come NIS2 (Network and Information Security 2), rappresenta il quadro normativo europeo di riferimento in materia di sicurezza informatica. Adottata dal Parlamento Europeo nel dicembre 2022 e in vigore dal 16 gennaio 2023, ha imposto agli Stati Membri di recepirla nel proprio ordinamento nazionale entro il 17 ottobre 2024.
La NIS2 amplia significativamente l’ambito di applicazione rispetto alla precedente Direttiva NIS (2016/1148), estendendo gli obblighi di sicurezza a un numero molto maggiore di operatori, inclusi i gestori di siti web e piattaforme digitali che rientrano nei settori classificati come «essenziali» o «importanti».
WHY?
La NIS2 introduce un regime sanzionatorio significativamente più severo rispetto alla direttiva precedente, con sanzioni pecuniarie di entità rilevante:
| Categoria | Sanzione Massima | Alternativa |
| Soggetti Essenziali | € 10.000.000 | 2% del fatturato mondiale annuo totale (se superiore) |
| Soggetti Importanti | € 7.000.000 | 1,4% del fatturato mondiale annuo totale (se superiore) |
Oltre alle sanzioni pecuniarie, le autorità nazionali competenti possono adottare misure correttive quali: ordini di conformità, audit di sicurezza obbligatori, notifiche ai clienti degli incidenti, e sospensione temporanea della certificazione o dell’autorizzazione a operare.
Per i soggetti essenziali, i dirigenti responsabili possono essere temporaneamente sospesi dalle funzioni direttive.
I rischi della non conformità alla NIS2
Cosa può accadere se la tua azienda non si adegua in tempo?
Senza adeguate misure di sicurezza e procedure di gestione dei rischi, le organizzazioni diventano vulnerabili agli attacchi informatici, compromettendo la confidenzialità, l’integrità e la disponibilità dei dati e la continuità operatività, con danni finanziari e reputazionali.
La non conformità dei soggetti essenziali è soggetta a sanzioni amministrative fino a 10.000.000 €, o corrispondenti al 2% del fatturato annuo se superiore.
Per i soggetti importanti, sono previste sanzioni fino a 7.000.000 € o equivalenti al 1,4% del fatturato annuo se superiore.
Le violazioni, inoltre, possono attirare l’attenzione di regolatori e autorità di vigilanza, portando a indagini approfondite e, in alcuni casi, a procedimenti giudiziari.
La Direttiva NIS2 introduce nuovi obblighi per la dirigenza delle aziende, che deve garantire l’implementazione e il mantenimento delle misure di sicurezza adeguate.
In caso di non conformità, i membri della dirigenza possono essere ritenuti personalmente responsabili.
La non conformità alla Direttiva NIS 2 può causare una perdita significativa di reputazione e fiducia da parte di clienti, partner commerciali e parti interessate.
Le organizzazioni non conformi possono essere percepite come non affidabili e poco professionali nel gestire e proteggere i dati sensibili e le Operations.
Verifica subito se la tua organizzazione rientra tra i soggetti obbligati.
Inizia ora il percorso verso la conformità.
Compila il modulo sottostante per ricevere informazioni.