In breve
La NIS2 è la direttiva (UE) 2022/2555. Chiede a migliaia di aziende ed enti europei di proteggere i propri sistemi informatici, di segnalare gli incidenti gravi e di controllare la sicurezza dei propri fornitori. In Italia è legge con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024.
Cosa dice la NIS2
La NIS2 sostituisce la prima direttiva NIS del 2016. Allarga di molto l'elenco dei settori coinvolti e rende gli obblighi più precisi: non basta dire di essere protetti, bisogna poterlo dimostrare.
Le regole stanno su tre punti:
- Misure di sicurezza. Ogni azienda coinvolta deve gestire i rischi informatici con misure adatte alla sua dimensione: analisi dei rischi, backup, controllo degli accessi, formazione, gestione degli incidenti e altro.
- Segnalazione degli incidenti. Un incidente grave va segnalato al CSIRT nazionale con un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese.
- Responsabilità dei vertici. Gli amministratori approvano le misure, ne rispondono e devono seguire una formazione sulla sicurezza.
In Italia: il decreto 138/2024
In Italia la direttiva è stata recepita con il decreto legislativo 4 settembre 2024, n. 138. L'autorità di riferimento è l'Agenzia per la Cybersicurezza Nazionale (ACN), che tiene l'elenco dei soggetti coinvolti, pubblica le regole di dettaglio e fa i controlli.
Le aziende che rientrano nella NIS2 si registrano sulla piattaforma digitale dell'ACN e aggiornano i loro dati ogni anno, tra il 1° gennaio e il 28 febbraio.
Chi deve rispettarla
Contano due cose: il settore e la dimensione.
I settori
La legge divide i settori in due gruppi:
- Settori ad alta criticità: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi informatici per altre aziende, pubblica amministrazione, spazio.
- Altri settori critici: servizi postali e corrieri, gestione dei rifiuti, chimica, alimentare, fabbricazione di dispositivi medici, elettronica, macchinari e mezzi di trasporto, fornitori di servizi digitali come marketplace e motori di ricerca, ricerca.
La dimensione
Di regola la NIS2 riguarda le medie e grandi imprese di questi settori: chi ha almeno 50 dipendenti, oppure fatturato annuo e totale di bilancio sopra i 10 milioni di euro. Alcuni soggetti rientrano a prescindere dalla dimensione, per esempio certi fornitori di servizi digitali e le pubbliche amministrazioni centrali.
Essenziali e importanti
Chi rientra è classificato come soggetto essenziale o soggetto importante. Gli obblighi sono simili; cambiano i controlli, più stretti per gli essenziali, e l'importo massimo delle sanzioni.
Cosa devono fare le aziende
Le misure richieste coprono dieci aree. Sono le stesse da cui nascono le domande dei questionari che ricevete:
- analisi dei rischi e politiche di sicurezza dei sistemi informatici;
- gestione degli incidenti;
- continuità operativa: backup, ripristino dopo un disastro, gestione delle crisi;
- sicurezza della catena di fornitura, cioè dei rapporti con i fornitori;
- sicurezza nell'acquisto, nello sviluppo e nella manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
- verifiche periodiche che le misure funzionino;
- igiene informatica di base e formazione del personale;
- uso della crittografia;
- sicurezza del personale, controllo degli accessi e inventario dei beni informatici;
- autenticazione a più fattori e comunicazioni protette, anche per le emergenze.
Le sanzioni
Le sanzioni arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o l'1,4% per i soggetti importanti: vale l'importo più alto. Gli amministratori possono essere chiamati a rispondere personalmente.
Perché riguarda anche i fornitori
Tra le dieci aree c'è la sicurezza della catena di fornitura. Un'azienda soggetta alla NIS2 deve sapere quanto sono sicuri i fornitori che toccano i suoi dati e i suoi sistemi, e deve poterlo dimostrare all'ACN.
Per questo i clienti più grandi mandano ai fornitori questionari di sicurezza, chiedono documenti e aggiungono clausole nei contratti. Anche se la vostra azienda non è nell'elenco della NIS2, il vostro cliente può chiedervi di rispondere, e un questionario fatto male può costarvi il contratto.
Lo spieghiamo nella guida NIS2 e fornitori, e in come rispondere al questionario NIS2.
Questa guida dà un quadro generale e non sostituisce il parere di un legale o di un consulente. Per i casi concreti fanno fede i testi ufficiali.
Fonti: Direttiva (UE) 2022/2555 su EUR-Lex · Decreto legislativo 138/2024 su Normattiva · Pagina NIS2 dell'Agenzia per la Cybersicurezza Nazionale