Cos’è la NIS2 e perché riguarda le imprese italiane

La direttiva (UE) 2022/2555, nota come NIS2, stabilisce misure per un livello comune elevato di cybersicurezza nell’Unione europea. L’Italia ha recepito questa normativa con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024.

Rispetto alla precedente direttiva NIS, il nuovo quadro normativo amplia significativamente il perimetro dei soggetti coinvolti e introduce obblighi più stringenti in materia di gestione del rischio informatico, notifica degli incidenti e governance della sicurezza.

L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità competente per l’attuazione e la vigilanza in Italia. Il portale dei servizi ACN rappresenta il punto di riferimento per la registrazione e gli adempimenti.

Criteri per determinare se la NIS2 si applica alla tua azienda

L’applicabilità della NIS2 dipende dalla combinazione di tre fattori: settore di attività, dimensioni dell’impresa ed eventuali designazioni specifiche.

Settori ad alta criticità

I soggetti che operano nei seguenti settori rientrano potenzialmente nel perimetro NIS2:

• Energia: elettricità, petrolio, gas, idrogeno e teleriscaldamento.
• Trasporti: aereo, ferroviario, marittimo e stradale.
• Settore bancario.
• Infrastrutture dei mercati finanziari.
• Settore sanitario.
• Acqua potabile.
• Acque reflue.
• Infrastrutture digitali.
• Gestione dei servizi ICT B2B.
• Pubblica amministrazione.
• Spazio.

Altri settori critici

La NIS2 include anche i cosiddetti “altri settori critici”:

• Servizi postali e di corriere.
• Gestione dei rifiuti.
• Fabbricazione, produzione e distribuzione di sostanze chimiche.
• Produzione, trasformazione e distribuzione di alimenti.
• Fabbricazione di dispositivi medici, computer, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto.
• Fornitori di servizi digitali, come marketplace, motori di ricerca e social network.
• Ricerca.

Soglie dimensionali

Per le imprese private, l’applicabilità generale richiede il superamento delle soglie previste per le medie imprese secondo la definizione europea:

Un’impresa rientra nella categoria se supera la soglia dei dipendenti oppure entrambe le soglie finanziarie.

Eccezioni e inclusioni speciali

Alcuni soggetti rientrano nel perimetro NIS2 indipendentemente dalle dimensioni:

• Fornitori di reti pubbliche di comunicazione elettronica.
• Prestatori di servizi fiduciari qualificati.
• Registri dei nomi di dominio di primo livello e fornitori di servizi DNS.
• Soggetti identificati come critici ai sensi del decreto legislativo 134/2024.
• Pubbliche amministrazioni centrali.
• Soggetti già identificati come operatori di servizi essenziali ai sensi del D.Lgs. 65/2018.

Le microimprese e le piccole imprese sono generalmente escluse, salvo che rientrino nelle categorie speciali indicate o siano designate individualmente dall’autorità competente.

Soggetti essenziali e soggetti importanti: le differenze

Il decreto legislativo 138/2024 distingue due categorie di soggetti obbligati, con implicazioni differenti in termini di vigilanza e sanzioni.

Soggetti essenziali

Rientrano in questa categoria:

• Operatori dei settori ad alta criticità che superano le soglie previste per le grandi imprese, con oltre 250 dipendenti o fatturato superiore a 50 milioni di euro.
• Prestatori di servizi fiduciari qualificati, registri dei nomi di dominio e fornitori di servizi DNS.
• Fornitori di reti pubbliche di comunicazione elettronica o servizi di comunicazione elettronica accessibili al pubblico classificati come medie imprese.
• Pubbliche amministrazioni centrali.
• Soggetti identificati come critici.
• Soggetti precedentemente identificati come operatori di servizi essenziali.
• Altri soggetti individuati specificamente dall’autorità.

Soggetti importanti

Sono soggetti importanti tutti gli altri operatori che rientrano nel perimetro NIS2 senza qualificarsi come essenziali. Tipicamente si tratta di medie imprese operanti nei settori indicati dalla normativa.

La distinzione rileva principalmente per:

• Intensità della vigilanza: ex ante per i soggetti essenziali ed ex post per i soggetti importanti.
• Entità delle sanzioni amministrative.
• Alcuni obblighi specifici di reporting.

Checklist di autovalutazione dell’applicabilità

Per una prima verifica, considera i seguenti elementi:

• La tua attività principale rientra in uno dei settori elencati negli allegati I, II, III o IV del D.Lgs. 138/2024?
• L’impresa ha 50 o più dipendenti?
• Il fatturato annuo supera i 10 milioni di euro?
• Il totale di bilancio annuo supera i 10 milioni di euro?
• L’impresa fornisce servizi di comunicazione elettronica, servizi fiduciari qualificati o servizi DNS?
• L’impresa è stata precedentemente identificata come operatore di servizi essenziali?
• L’impresa fa parte della catena di fornitura di soggetti NIS2?

Se hai risposto affermativamente al primo punto e ad almeno uno tra il secondo, il terzo e il quarto, oppure se rientri nelle categorie speciali, è probabile che la NIS2 si applichi alla tua organizzazione.

Questa checklist fornisce un’indicazione preliminare. La valutazione definitiva richiede un’analisi approfondita della struttura societaria, delle attività effettivamente svolte e delle eventuali interconnessioni con altri soggetti obbligati.

Obblighi NIS2 per le imprese: cosa fare concretamente

Registrazione sul portale ACN

I soggetti che ritengono di rientrare nel perimetro NIS2 devono registrarsi sulla piattaforma digitale dell’ACN. La registrazione comporta la comunicazione di informazioni identificative, settore di appartenenza, punti di contatto e descrizione delle attività.

L’ACN, sulla base delle informazioni ricevute e delle proprie verifiche, redige l’elenco dei soggetti essenziali e importanti e comunica ai singoli soggetti la loro classificazione.

Misure di gestione del rischio informatico

Gli articoli 23 e 24 del decreto legislativo 138/2024 impongono l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza dei sistemi informativi e di rete. Le misure devono includere almeno:

• Politiche di analisi dei rischi e sicurezza dei sistemi informativi.
• Gestione degli incidenti.
• Continuità operativa, inclusi backup, ripristino e gestione delle crisi.
• Sicurezza della catena di approvvigionamento.
• Sicurezza nell’acquisizione, nello sviluppo e nella manutenzione dei sistemi.
• Strategie e procedure per valutare l’efficacia delle misure.
• Pratiche di igiene informatica di base e formazione.
• Politiche sull’uso della crittografia.
• Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset.
• Autenticazione a più fattori o autenticazione continua.

Sicurezza della supply chain

La NIS2 pone particolare enfasi sulla sicurezza della catena di fornitura. I soggetti obbligati devono valutare i rischi derivanti dai rapporti con fornitori e prestatori di servizi, considerando:

• Le vulnerabilità specifiche di ciascun fornitore.
• La qualità complessiva dei prodotti e le pratiche di cybersicurezza dei fornitori.
• Le procedure di sviluppo sicuro adottate dai fornitori.

Questo implica revisione contrattuale, due diligence sui fornitori critici e monitoraggio continuativo.

Notifica degli incidenti

I soggetti NIS2 devono notificare al CSIRT Italia gli incidenti significativi secondo tempistiche precise:

Il CSIRT Italia fornisce indicazioni operative sulle modalità di notifica e sui criteri per qualificare un incidente come significativo.

Responsabilità del management

L’articolo 23 del decreto stabilisce che gli organi di amministrazione e direzione dei soggetti essenziali e importanti:

• Approvano le modalità di implementazione delle misure di gestione del rischio.
• Sovrintendono all’implementazione degli obblighi.
• Possono essere ritenuti responsabili delle violazioni.
• Devono seguire una formazione in materia di cybersicurezza.

Questo significa che la cybersecurity diventa formalmente una responsabilità di governance, non soltanto una questione tecnica delegabile alla funzione IT.

Esempi pratici di applicabilità

Caso 1: azienda manifatturiera

Un’impresa con 80 dipendenti che produce componenti per autoveicoli rientra nel settore “Fabbricazione di autoveicoli, rimorchi e semirimorchi” indicato nell’Allegato II. Superando la soglia dei 50 dipendenti e operando in un settore critico, l’impresa è soggetta alla NIS2 come soggetto importante.

Caso 2: fornitore di servizi IT

Una società con 60 dipendenti e un fatturato di 15 milioni di euro che fornisce servizi di gestione ICT ad altre imprese rientra nel settore “Gestione dei servizi TIC (B2B)”. L’applicabilità dipende dalla natura specifica dei servizi: se include managed security services o la gestione di infrastrutture critiche per i clienti, l’inclusione è probabile.

Caso 3: PMI nella supply chain

Una piccola impresa con 30 dipendenti che fornisce componenti software a un operatore energetico non rientra direttamente nel perimetro dimensionale. Tuttavia, il cliente soggetto alla NIS2 potrebbe imporre requisiti contrattuali di sicurezza derivanti dai propri obblighi sulla supply chain.

Tempistiche e scadenze per l’adeguamento NIS2

Il decreto legislativo 138/2024 prevede un percorso di attuazione graduale. L’ACN definisce, attraverso proprie determinazioni, le specifiche tecniche e le tempistiche per i singoli adempimenti.

Le imprese dovrebbero avviare tempestivamente:

• La verifica di applicabilità.
• La registrazione sulla piattaforma ACN quando richiesta.
• La gap analysis rispetto alle misure di sicurezza richieste.
• L’aggiornamento della governance interna.
• La revisione dei contratti con i fornitori.

Domande frequenti

La NIS2 si applica alle PMI?

Le microimprese e le piccole imprese, con meno di 50 dipendenti e fatturato o bilancio non superiore a 10 milioni di euro, sono generalmente escluse. Tuttavia, alcune categorie specifiche, come i fornitori di servizi DNS, i prestatori di servizi fiduciari qualificati e i fornitori di reti di comunicazione elettronica, sono incluse indipendentemente dalle dimensioni.

Come faccio a sapere se la mia azienda è un soggetto essenziale o importante?

La classificazione definitiva viene comunicata dall’ACN a seguito della registrazione e delle verifiche dell’autorità. In linea generale, le grandi imprese nei settori ad alta criticità sono soggetti essenziali, mentre le medie imprese negli stessi settori e le imprese negli altri settori critici sono soggetti importanti.

Quali sono le sanzioni per il mancato adeguamento?

Il decreto prevede sanzioni amministrative pecuniarie differenziate: fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni di euro o all’1,4% del fatturato mondiale per i soggetti importanti. Sono previste anche sanzioni accessorie e responsabilità personali per gli organi di amministrazione.

La certificazione ISO/IEC 27001 garantisce la conformità alla NIS2?

No. La certificazione ISO/IEC 27001 non garantisce automaticamente la conformità alla NIS2. Tuttavia, un sistema di gestione della sicurezza delle informazioni certificato fornisce una base solida per l’adeguamento, poiché molti controlli coincidono con le misure richieste dalla normativa. È comunque necessaria una verifica puntuale della copertura degli specifici requisiti NIS2.

Cosa succede se sono fornitore di un soggetto NIS2 ma non rientro direttamente nel perimetro?

Non sei direttamente soggetto agli obblighi NIS2, ma il cliente potrebbe richiederti contrattualmente l’adozione di specifiche misure di sicurezza per adempiere ai propri obblighi sulla supply chain. Potresti ricevere richieste di audit, questionari di sicurezza o clausole contrattuali più stringenti.

Conclusioni

Verificare se la NIS2 si applica alla propria azienda richiede un’analisi attenta del settore, delle dimensioni e delle caratteristiche specifiche dell’attività. La normativa coinvolge un numero significativo di imprese italiane e introduce obblighi concreti di governance, gestione del rischio e notifica degli incidenti.

L’approccio corretto prevede una valutazione strutturata dell’applicabilità, seguita da una gap analysis rispetto ai requisiti e dalla definizione di un piano di adeguamento proporzionato.