Capire se e come ti riguarda
Verifico se l’azienda rientra tra i soggetti NIS2 e in quale categoria (essenziale o importante), e quali sedi, servizi e attività sono coinvolti. È il passaggio che stabilisce quali obblighi si applicano.
Governance & NIS2
Verifico se la NIS2 riguarda la tua azienda, cosa manca e come rimediare.
La NIS2 è la direttiva europea sulla sicurezza informatica; in Italia è in vigore con il D.Lgs. 138/2024. Verifico se la tua azienda rientra nell’ambito di applicazione, valuto le misure esistenti, individuo le lacune e definisco un piano di intervento.
Che cos’è la NIS2
È la norma che fissa un livello minimo di sicurezza informatica per le organizzazioni che svolgono servizi importanti per l’economia e la società. La vigilanza in Italia spetta all’Agenzia per la cybersicurezza nazionale (ACN).
Chi riguarda
Le organizzazioni di dimensione almeno media (50 dipendenti, oppure fatturato e totale di bilancio annui entrambi sopra i 10 milioni di euro) che operano in settori come energia, trasporti, banche, sanità, acqua, infrastrutture digitali e pubblica amministrazione, oppure manifattura, alimentare, chimica, rifiuti e servizi postali. Alcuni soggetti rientrano a prescindere dalle dimensioni. Le aziende più piccole possono essere coinvolte indirettamente, se forniscono servizi a un’organizzazione soggetta.
Cosa richiede
Misure per gestire il rischio informatico: analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza dei fornitori, controllo degli accessi, formazione. Gli incidenti significativi vanno notificati al CSIRT Italia: preallerta entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Cosa cambia per la direzione
Gli organi di amministrazione e direttivi approvano le misure, ne controllano l’attuazione e devono seguire una formazione specifica; possono essere ritenuti responsabili delle violazioni. Le sanzioni amministrative arrivano a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, a 7 milioni o all’1,4% per quelli importanti (si applica il valore più alto).
In Italia i soggetti si sono registrati sul portale dell’ACN nel 2025. L’obbligo di notifica degli incidenti è operativo da gennaio 2026; le misure di sicurezza di base andavano attuate entro ottobre 2026 e da allora l’ACN può avviare le verifiche.
Come si procede
Si parte dalla situazione reale dell’azienda e si arriva a misure operative e documentate. Seguo la pianificazione, la documentazione e il confronto con le persone coinvolte, fino alla verifica degli interventi.
Confrontare con i requisiti
Faccio la gap analysis: metto a confronto ciò che esiste (misure tecniche, documenti, responsabilità, fornitori) con ciò che la norma richiede. Il risultato è l’elenco di ciò che manca, in ordine di priorità, tenendo conto delle attività già in corso e delle risorse disponibili.
Preparare piano e documenti
Preparo politiche e procedure di sicurezza, il piano di trattamento dei rischi e i documenti per la continuità operativa e la gestione degli incidenti. Li definisco insieme a chi dovrà applicarli, perché restino coerenti con l’organizzazione.
Attuare e verificare
Coordino l’avanzamento tra direzione, reparto IT e fornitori, definisco le responsabilità e porto alla direzione le decisioni da prendere. Accompagno le verifiche interne, il riesame e le azioni correttive, fino a controllare che le misure siano operative.
Come riferimento metodologico uso la ISO/IEC 27001, lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni. Collego gli aspetti tecnici alle responsabilità e ai processi aziendali.
Cosa ricevi
- Gap analysis NIS2 e gestione del rischioL’elenco di ciò che manca rispetto ai requisiti, con le priorità.
- Policy e procedure di cybersecurityRegole scritte sull’organizzazione reale: chi fa cosa e come.
- Business continuity e disaster recoveryCosa fare per continuare a lavorare, e per ripartire, dopo un blocco dei sistemi.
- Sicurezza dei fornitori e supporto agli auditCome valutare i fornitori da cui dipendi e come prepararti a una verifica.
Domande frequenti
Vale anche per una piccola azienda?
Di norma no, se l’azienda è piccola e non opera in un settore per cui la direttiva vale a prescindere dalle dimensioni. Può però ricevere richieste di requisiti di sicurezza da clienti che sono soggetti NIS2, perché la direttiva include la sicurezza della catena di fornitura.
Soggetto essenziale o importante?
Sono le due categorie previste dalla norma, in base al settore e alle dimensioni. Gli obblighi di fondo sono gli stessi (misure di sicurezza, notifica degli incidenti). Cambiano i controlli e le sanzioni: i soggetti essenziali possono essere controllati anche senza segnalazioni di problemi e rischiano sanzioni più alte, quelli importanti di norma solo dopo indizi di violazione.
Serve la certificazione ISO/IEC 27001?
No: la NIS2 non richiede una certificazione. La ISO/IEC 27001 è uno standard utile come metodo e come riferimento per le misure, ma da sola non dimostra la conformità alla NIS2, e viceversa.
Cosa mi serve per iniziare?
L’elenco dei servizi e dei sistemi principali dell’azienda, i referenti (direzione, IT, acquisti) e i documenti di sicurezza che esistono già, anche se incompleti.