La sfida, anzi l’opportunità, si chiama Direttiva UE 2022/2555, recepita in Italia con il D.Lgs. n. 138 del 4 settembre 2024. Non è una minaccia per le aziende: è il momento di costruire una cultura della sicurezza che protegge davvero.
Che cosa è la NIS2?
Parliamoci chiaro: la NIS2 non è “l’ennesima norma da mettere nel cassetto”. È una risposta concreta dell’Unione Europea all’escalation degli attacchi informatici che negli ultimi anni hanno messo in ginocchio ospedali, aziende energetiche, infrastrutture idriche e molte altre organizzazioni che noi diamo per scontate.
La direttiva NIS2 (Network and Information Security, versione 2) sostituisce la precedente NIS del 2016 e amplia enormemente il perimetro dei soggetti obbligati. Se prima erano coinvolti solo i “grandi operatori di servizi essenziali”, oggi la platea include migliaia di aziende italiane che operano in 18 settori diversi.
Chi è coinvolto? Le categorie di soggetti
Il D.Lgs. 138/2024 distingue due categorie principali, con obblighi e sanzioni diversi:
Soggetti Essenziali (SE) – Allegato I
Sono le grandi imprese (>250 dipendenti o fatturato >50M€ e bilancio >43M€) nei settori ad alto impatto. Tra questi:
Energia (elettricità, gas, petrolio, idrogeno, teleriscaldamento)
Sanità (ospedali, strutture di ricerca farmaceutica, fabbricanti di dispositivi medici)
Acqua potabile e acque reflue
Infrastrutture digitali e fornitori di servizi cloud e data center
Spazio
Soggetti Importanti (SI) – Allegato II
Sono le medie imprese (>50 dipendenti o fatturato >10M€) negli stessi settori o in settori “secondari” come:
Gestione dei rifiuti
Fabbricazione di prodotti chimici, alimentari, dispositivi medici
Costruzioni e ingegneria
Servizi postali e corrieri
Servizi digitali (piattaforme online, motori di ricerca, social network)
Energie rinnovabili
Cosa chiedono le misure di sicurezza? (Art. 24, D.Lgs. 138/2024)
Il decreto elenca dieci misure obbligatorie che ogni soggetto NIS2 deve implementare e documentare. Non sono “linee guida”: sono obblighi di legge.
Politiche di analisi dei rischi e sicurezza dei sistemi informativi
Gestione degli incidenti: rilevazione, risposta e notifica al CSIRT Italia
Continuità operativa: Business Continuity Plan, Disaster Recovery, gestione delle crisi
Sicurezza della catena di approvvigionamento (vendor assessment dei fornitori critici)
Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi informativi
Politiche e procedure per valutare l’efficacia delle misure adottate
Pratiche di igiene informatica di base e formazione cybersecurity del personale
Politiche di crittografia e cifratura dei dati
Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset IT/OT
Autenticazione a più fattori (MFA), Single Sign-On sicuro, comunicazioni cifrate
Le scadenze da non perdere
L’ACN (Agenzia per la Cybersicurezza Nazionale) coordina l’attuazione della NIS2 in Italia. Le scadenze operative sono:
28 febbraio 2025 – termine di registrazione sul portale ACN (nis2.acn.gov.it)
Aprile 2025 – pubblicazione da parte di ACN dell’elenco ufficiale dei soggetti individuati
31 marzo 2026 – adempimento misure di sicurezza Art. 24 per i Soggetti Importanti
31 marzo 2026 – designazione del punto di contatto (POC) e del referente NIS2/CISO
Per i Soggetti Essenziali si applica anche il Regolamento di esecuzione UE 2024/2690, in vigore dal 17 ottobre 2024, con requisiti tecnici dettagliati per ciascuna misura.
La responsabilità degli organi di amministrazione
Attenzione: art. 23, D.Lgs. 138/2024. Gli organi di amministrazione — CDA o amministratore unico — sono PERSONALMENTE responsabili del rispetto degli obblighi NIS2. Devono approvare le misure, seguire formazione periodica, e non possono scaricare la responsabilità sul CISO o sul consulente esterno. Sanzioni: fino a 10 milioni di euro o il 2% del fatturato globale per i SE; 7 milioni di euro o 1,4% per i SI.
NIS2 e GDPR: un percorso integrato
Nella mia esperienza quotidiana, la NIS2 e il GDPR non sono “due cose separate”. Sono due facce dello stesso obiettivo: proteggere i dati, i sistemi e le persone. Per questo propongo sempre un approccio integrato che evita duplicazioni e massimizza l’efficienza:
L’analisi dei rischi NIS2 e la DPIA del GDPR usano metodologie complementari → documento unificato
Il registro degli incidenti NIS2 e il registro delle violazioni GDPR (Art. 33) → separati ma con cross-reference
Il vendor assessment NIS2 integra i contratti ex Art. 28 GDPR con i responsabili del trattamento
La formazione cybersecurity NIS2 e la formazione privacy GDPR → sessione unificata con attestato
Come posso aiutarti?
Seguo clienti nei settori energia rinnovabile, gestione rifiuti, costruzioni e sanità — tutti coinvolti dalla NIS2 a vario titolo. Il mio approccio è concreto:
Analisi di applicabilità: sei un SE, un SI, o sei fuori perimetro? Lo stabiliamo subito.
Gap analysis rispetto alle 10 misure dell’Art. 24 con verifica documentale
Supporto alla registrazione sul portale ACN e alla designazione del POC
Redazione di tutti i documenti Tier 1–4: politiche, analisi rischi, procedure operative, moduli
Piano di formazione per l’organo di amministrazione (obbligo Art. 23)
Integrazione con il percorso GDPR già avviato, per evitare ridondanze
