NIS2 in Italia: chi deve adeguarsi secondo il D.Lgs. 138/2024

Molte aziende hanno sentito parlare di NIS2 ma non sanno con certezza se la norma le riguarda. La domanda è legittima: il perimetro è molto più ampio rispetto alla prima direttiva NIS e include settori e imprese che fino a ieri non si erano mai occupati di obblighi formali di cybersicurezza. Capire se si è dentro o fuori è il primo passo per pianificare con calma, senza rincorrere le scadenze.

Che cos'è la NIS2 e come è stata recepita in Italia

La Direttiva (UE) 2022/2555, nota come NIS2, punta a innalzare il livello comune di cybersicurezza nell'Unione europea. L'Italia l'ha recepita con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024.

L'autorità nazionale competente è l'ACN, Agenzia per la Cybersicurezza Nazionale, che gestisce la piattaforma di registrazione dei soggetti, pubblica le indicazioni operative e vigila sul rispetto degli obblighi.

Rispetto al passato cambia l'approccio: non è più lo Stato a individuare uno per uno gli operatori, ma sono le aziende a dover verificare in autonomia se rientrano nel perimetro e, in caso affermativo, a registrarsi.

Quali settori sono coinvolti

Il decreto distingue tra settori ad alta criticità e altri settori critici. Senza pretendere di essere un elenco completo, rientrano tra gli altri:

• energia, trasporti, settore bancario e infrastrutture dei mercati finanziari;
• sanità, acqua potabile e acque reflue;
• infrastrutture digitali e gestione dei servizi ICT business-to-business, cioè i fornitori di servizi gestiti e di sicurezza gestita;
• pubblica amministrazione e spazio;
• servizi postali e di corriere, gestione dei rifiuti;
• fabbricazione, produzione e distribuzione di sostanze chimiche e di prodotti alimentari;
• fabbricazione di dispositivi medici, computer ed elettronica, macchinari, apparecchiature elettriche, autoveicoli e altri mezzi di trasporto;
• fornitori di servizi digitali come marketplace, motori di ricerca e piattaforme di social network;
• ricerca.

Per un'azienda manifatturiera il punto da non sottovalutare è proprio la parte "fabbricazione": molte imprese meccaniche ed elettromeccaniche scoprono di rientrare in un settore NIS2 pur non essendosi mai considerate operatori critici.

La soglia dimensionale: chi è dentro e chi è fuori

Come regola generale, la NIS2 si applica alle medie e grandi imprese dei settori elencati. Per la classificazione si fa riferimento ai criteri europei per le PMI, che considerano il numero di dipendenti, il fatturato e il totale di bilancio, tenendo conto anche delle eventuali imprese collegate o associate.

Le piccole e microimprese sono di norma escluse, ma esistono eccezioni: alcuni soggetti rientrano a prescindere dalle dimensioni, per esempio determinati fornitori di infrastrutture e servizi digitali, oppure soggetti che svolgono un ruolo considerato critico. Per questo la sola dimensione non basta a chiudere la questione.

Soggetti essenziali e soggetti importanti

Chi rientra nel perimetro viene classificato in due categorie:

• soggetti essenziali, in genere imprese di grandi dimensioni nei settori ad alta criticità e alcune tipologie specifiche;
• soggetti importanti, tutti gli altri soggetti nel perimetro.

Gli obblighi sostanziali sono molto simili. La differenza principale riguarda l'intensità della vigilanza: per i soggetti essenziali è più incisiva e può essere anche preventiva, per quelli importanti interviene soprattutto a posteriori. Anche il livello massimo delle sanzioni è diverso, ma in entrambi i casi le sanzioni sono significative e commisurate al fatturato.

Gli obblighi principali in sintesi

Una volta accertato di rientrare nella NIS2, l'azienda deve occuparsi di alcuni filoni di lavoro:

1. Registrazione sulla piattaforma dell'ACN e aggiornamento periodico delle informazioni (ne parliamo in questo articolo).
2. Governance: gli organi di amministrazione approvano le misure di sicurezza, ne supervisionano l'attuazione e ne rispondono.
3. Misure di gestione del rischio: politiche di sicurezza, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, controllo degli accessi, autenticazione a più fattori, crittografia, formazione.
4. Notifica degli incidenti significativi al CSIRT Italia secondo tempistiche precise.
5. Collaborazione con l'autorità in caso di richieste, ispezioni o verifiche.

Le misure vanno proporzionate al rischio, alla dimensione dell'organizzazione e all'impatto potenziale di un incidente. Non esiste un pacchetto unico valido per tutti: serve un'analisi della propria situazione.

Come capire se la tua azienda rientra

Una verifica ragionata parte da poche domande:

• Qual è il codice ATECO principale e quali attività svolgiamo realmente?
• Le nostre attività rientrano in uno dei settori indicati dal decreto?
• Quanti dipendenti, quale fatturato e quale bilancio abbiamo, considerando il gruppo?
• Forniamo servizi digitali o ICT ad altre imprese?
• Siamo fornitori di aziende che sono a loro volta soggetti NIS2?

L'ultima domanda è importante anche per chi resta fuori: i clienti soggetti a NIS2 devono gestire la sicurezza della propria catena di fornitura e chiederanno garanzie ai fornitori. Per i dettagli e le indicazioni aggiornate conviene sempre consultare il sito dell'ACN o confrontarsi con un consulente.

Come può aiutarti Area GUI

Area GUI affianca le aziende nella verifica dell'applicabilità e nell'assessment NIS2, traducendo gli obblighi in attività tecniche concrete: inventario dei sistemi, gestione delle vulnerabilità, backup, monitoraggio. Trovi una panoramica nella pagina NIS2; per una prima valutazione puoi contattarci.