La Direttiva NIS2 (Direttiva (UE) 2022/2555) rappresenta la legislazione europea sulla cybersicurezza più significativa mai adottata, sostituendo la Direttiva NIS originale del 2016 e ampliando il suo ambito di applicazione a circa 160.000 soggetti in tutta l'UE. Se la tua organizzazione opera in uno dei 18 settori critici e soddisfa determinate soglie dimensionali, la conformità non è facoltativa: e un obbligo di legge sanzionabile con multe fino a 10 milioni di euro o il 2% del fatturato annuo globale. Questa guida ti accompagna attraverso tutto ciò che devi sapere per raggiungere e mantenere la conformità.
Punti Chiave
- La NIS2 si applica a medie e grandi organizzazioni in 18 settori tra cui energia, trasporti, sanita, infrastrutture digitali e pubblica amministrazione.
- Le sanzioni raggiungono i 10 milioni di euro o il 2% del fatturato globale per i soggetti essenziali, con responsabilità personale per il top management.
- L'Italia ha recepito la NIS2 con il D.Lgs. 138/2024, in vigore da ottobre 2024, con piena applicazione delle sanzioni dal 2026.
- La Spagna ha recepito la NIS2 tramite Real Decreto-Ley, con tempistiche di applicazione allineate a quelle UE.
- Notifica iniziale dell'incidente entro 24 ore, molto più stringente delle 72 ore previste dal GDPR.
Cos'è la Direttiva NIS2?
La NIS2 (Network and Information Security Directive 2) e un quadro legislativo europeo che stabilisce un elevato livello comune di cybersicurezza in tutta l'Unione Europea. Adottata dal Parlamento Europeo e dal Consiglio nel dicembre 2022, e entrata in vigore il 16 gennaio 2023, con un termine di recepimento per gli Stati Membri fissato al 17 ottobre 2024.
La direttiva nasce da una necessità concreta. Secondo il rapporto ENISA Threat Landscape 2024, gli attacchi informatici contro le organizzazioni dell'UE sono aumentati del 38% tra il 2022 e il 2024, con il solo ransomware che costa alle aziende europee circa 5,5 miliardi di euro all'anno. La Direttiva NIS originale, pur essendo pionieristica, ha sofferto di un'implementazione incoerente tra gli Stati Membri e di un ambito di applicazione ristretto che ha lasciato molti settori critici senza protezione.
A Chi Si Applica la NIS2?
La NIS2 amplia significativamente l'ambito dei soggetti regolamentati rispetto alla NIS1. La direttiva utilizza un meccanismo di soglia dimensionale combinato con la classificazione settoriale per determinare l'applicabilita.
Soglie Dimensionali
| Criterio | Media Impresa | Grande Impresa |
|---|---|---|
| Dipendenti | Da 50 a 249 | 250 o più |
| Fatturato Annuo | Da 10M a 50M EUR | Oltre 50M EUR |
| Totale di Bilancio | Da 10M a 43M EUR | Oltre 43M EUR |
Soggetti Essenziali (Settori Allegato I)
- Energia (elettricita, petrolio, gas, idrogeno, teleriscaldamento)
- Trasporti (aereo, ferroviario, marittimo, stradale)
- Settore bancario e infrastrutture dei mercati finanziari
- Settore sanitario (ospedali, laboratori, produzione farmaceutica)
- Acqua potabile e acque reflue
- Infrastrutture digitali (DNS, registri TLD, cloud computing, data centre, CDN, fornitori di servizi fiduciari)
- Gestione dei servizi ICT (fornitori di servizi gestiti, fornitori di servizi di sicurezza gestiti)
- Pubblica amministrazione (governo centrale)
- Spazio
Soggetti Importanti (Settori Allegato II)
- Servizi postali e di corriere
- Gestione dei rifiuti
- Fabbricazione, produzione e distribuzione di sostanze chimiche
- Produzione, trasformazione e distribuzione di alimenti
- Fabbricazione di dispositivi medici, computer, elettronica, macchinari e veicoli a motore
- Fornitori digitali (marketplace, motori di ricerca, piattaforme di social networking)
- Organizzazioni di ricerca
Requisiti Chiave della NIS2
L'Articolo 21 della NIS2 delinea le misure fondamentali di gestione del rischio di cybersicurezza che tutti i soggetti in ambito devono implementare. Non si tratta di raccomandazioni, ma di requisiti giuridicamente vincolanti.
1. Analisi dei Rischi e Politiche di Sicurezza delle Informazioni
Le organizzazioni devono condurre valutazioni dei rischi regolari e stabilire politiche di sicurezza documentate. Secondo il IBM Cost of a Data Breach Report 2024, le organizzazioni con programmi maturi di valutazione del rischio hanno registrato costi per violazione inferiori del 23,4% rispetto a quelle che ne erano prive.
2. Gestione degli Incidenti
E obbligatoria una solida capacità di risposta agli incidenti. La NIS2 prevede un sistema di notifica a livelli:
- 24 ore: Pre-allarme all'autorità competente (CSIRT)
- 72 ore: Notifica dell'incidente con valutazione iniziale
- 1 mese: Relazione finale con analisi delle cause
3. Continuita Operativa e Gestione delle Crisi
Comprende la gestione dei backup, la pianificazione del disaster recovery e le procedure di risposta alle crisi. Il Verizon DBIR 2024 ha rilevato che il 32% delle organizzazioni violate non disponeva di piani adeguati di continuita operativa, con tempi di ripristino 2,7 volte più lunghi.
4. Sicurezza della Catena di Approvvigionamento
Le organizzazioni devono affrontare i rischi di cybersicurezza nelle relazioni con i fornitori diretti e i prestatori di servizi. Si tratta di un'importante estensione rispetto alla NIS1 che riflette la crescente minaccia degli attacchi alla supply chain, aumentati del 26% secondo i dati ENISA.
5. Sicurezza dei Sistemi di Rete e Informativi
Copre l'acquisizione, lo sviluppo e la manutenzione dei sistemi, inclusa la gestione e la divulgazione delle vulnerabilità.
6. Valutazione dell'Efficacia delle Misure di Gestione del Rischio
Le organizzazioni devono implementare politiche e procedure per valutare l'efficacia delle proprie misure di gestione del rischio di cybersicurezza, inclusi audit regolari e penetration testing.
7. Crittografia e Cifratura
Devono essere in vigore politiche per l'uso della crittografia e della cifratura per proteggere i dati in transito e a riposo.
8. Sicurezza delle Risorse Umane
Sono richieste politiche di controllo degli accessi, gestione degli asset e formazione sulla cybersicurezza per tutti i dipendenti.
9. Autenticazione Multi-Fattore
L'uso dell'autenticazione multi-fattore (MFA), delle soluzioni di autenticazione continua e dei sistemi di comunicazione sicuri e obbligatorio ove appropriato.
10. Responsabilità degli Organi di Gestione
Il top management deve approvare le misure di cybersicurezza, supervisionarne l'implementazione e può essere ritenuto personalmente responsabile in caso di non conformità. I membri del consiglio di amministrazione devono seguire una formazione sulla cybersicurezza.
Recepimento NIS2: Italia (D.Lgs. 138/2024)
L'Italia ha recepito la NIS2 attraverso il Decreto Legislativo 138/2024, pubblicato nella Gazzetta Ufficiale il 1 ottobre 2024. L'attuazione italiana e supervisionata dall'Agenzia per la Cybersicurezza Nazionale (ACN), che funge da autorità nazionale competente e CSIRT.
Aspetti chiave del recepimento italiano:
- Obbligo di registrazione: Tutti i soggetti in ambito devono registrarsi sulla piattaforma digitale dell'ACN entro gennaio 2025.
- Autovalutazione: I soggetti devono determinare se si qualificano come essenziali o importanti e comunicarlo all'ACN.
- Linee guida settoriali: L'ACN ha pubblicato linee guida tecniche aggiuntive per i settori critici, tra cui energia e sanita.
- Tempistica di applicazione: Sebbene il decreto sia entrato in vigore a ottobre 2024, la piena applicazione con sanzioni inizia dal 2026, concedendo alle organizzazioni un periodo di transizione.
- Integrazione con il quadro nazionale: Il D.Lgs. 138/2024 si integra con il Perimetro di Sicurezza Nazionale Cibernetica già esistente in Italia.
Recepimento NIS2: Spagna
La Spagna ha recepito la NIS2 attraverso il proprio processo legislativo nazionale, con il Centro Criptologico Nacional (CCN-CERT) e l'INCIBE come organismi chiave di implementazione. L'approccio spagnolo si basa sull'Esquema Nacional de Seguridad (ENS) già esistente.
- CCN-CERT gestisce gli incidenti che coinvolgono enti del settore pubblico e operatori di servizi essenziali.
- INCIBE-CERT gestisce gli incidenti che coinvolgono enti del settore privato e cittadini.
- Allineamento con l'ENS: Le organizzazioni già conformi all'ENS hanno un vantaggio iniziale, poiché molti requisiti NIS2 si sovrappongono ai controlli ENS.
- CSIRT settoriali: La Spagna ha istituito CSIRT settoriali per i servizi finanziari, l'energia e i trasporti.
Panoramica delle Sanzioni
La NIS2 introduce una struttura sanzionatoria a due livelli che rispecchia l'approccio del GDPR:
| Tipo di Soggetto | Sanzione Massima | Limite sul Fatturato |
|---|---|---|
| Soggetti Essenziali | 10.000.000 EUR | 2% del fatturato annuo globale |
| Soggetti Importanti | 7.000.000 EUR | 1,4% del fatturato annuo globale |
Aspetto cruciale: la NIS2 introduce anche la responsabilità personale per gli organi di gestione. Ai sensi dell'Articolo 20, i dirigenti che non approvano e non supervisionano le misure di cybersicurezza possono essere soggetti a sanzioni individuali, compreso il divieto temporaneo di esercitare funzioni dirigenziali. Si tratta di un cambiamento significativo rispetto alla precedente legislazione europea in materia di cybersicurezza.
Per un'analisi dettagliata delle sanzioni e dei meccanismi di applicazione, leggi il nostro articolo sulle sanzioni e multe NIS2.
Passi per Raggiungere la Conformità NIS2
Il raggiungimento della conformità richiede un approccio strutturato e graduale. Ecco una roadmap di alto livello:
- Determinare l'applicabilita: Valutare se la propria organizzazione rientra nell'ambito di applicazione in base al settore e alle soglie dimensionali.
- Classificare il soggetto: Determinare se si tratta di un soggetto essenziale o importante, poiché questo influisce sia sugli obblighi che sulle sanzioni.
- Condurre una gap analysis: Confrontare la propria postura di cybersicurezza attuale con i requisiti NIS2 per identificare le aree di non conformità.
- Stabilire la governance: Garantire la responsabilità del top management e nominare un CISO o figura equivalente.
- Implementare le misure di gestione del rischio: Affrontare tutte le 10 categorie di misure di sicurezza delineate nell'Articolo 21.
- Predisporre la risposta agli incidenti: Costruire la capacità di rilevare, rispondere e segnalare gli incidenti entro le tempistiche di 24/72 ore.
- Affrontare la sicurezza della supply chain: Valutare e gestire i rischi di cybersicurezza posti dai propri fornitori e prestatori di servizi.
- Registrarsi presso l'autorità nazionale: Completare la registrazione presso l'ACN (Italia), CCN-CERT/INCIBE (Spagna) o l'autorità nazionale competente.
- Formare il personale: Implementare una formazione continua sulla consapevolezza della cybersicurezza per tutti i dipendenti e una formazione specializzata per gli organi di gestione.
- Monitorare e migliorare continuamente: La conformità NIS2 non è un progetto una tantum, ma un programma continuo di valutazione e miglioramento.
Per una checklist dettagliata e operativa, leggi la nostra checklist in 14 passi per l'adeguamento NIS2.
Come Orizon Può Aiutarti
Orientarsi nella conformità NIS2 può essere complesso, soprattutto per le organizzazioni che rientrano per la prima volta nell'ambito di applicazione. Le soluzioni Orizon per la conformità NIS2 offrono supporto end-to-end, dalla gap analysis iniziale e valutazione dei rischi, attraverso l'implementazione, fino al monitoraggio continuo e alla preparazione per gli audit. Il nostro team di professionisti certificati conosce i requisiti specifici del recepimento italiano e spagnolo e può guidare la tua organizzazione verso la piena conformità in modo efficiente ed efficace.
Domande Frequenti
Quando diventa applicabile la NIS2?
La NIS2 e entrata in vigore il 16 gennaio 2023, con un termine di recepimento fissato al 17 ottobre 2024. La maggior parte degli Stati Membri, inclusa l'Italia, ha recepito la direttiva nel diritto nazionale. L'applicazione con le sanzioni piene e prevista dal 2026, a seconda dello Stato Membro.
La NIS2 si applica alle piccole imprese?
In generale, la NIS2 si applica alle medie e grandi imprese. Tuttavia, alcuni soggetti rientrano nell'ambito indipendentemente dalle dimensioni, tra cui i fornitori di servizi DNS, i registri TLD, i fornitori di servizi fiduciari e i soggetti identificati come critici dagli Stati Membri.
In cosa differisce la NIS2 dalla Direttiva NIS originale?
La NIS2 amplia drasticamente l'ambito di applicazione da circa 10.000 a 160.000 soggetti, introduce tempistiche più stringenti per la segnalazione degli incidenti (24 ore contro nessuna tempistica fissa), aggiunge la responsabilità personale per i dirigenti, aumenta le sanzioni massime e impone misure di sicurezza della catena di approvvigionamento.
Si può essere sanzionati sia dalla NIS2 che dal GDPR?
Sì. Se un incidente di cybersicurezza coinvolge anche una violazione dei dati personali, le organizzazioni possono essere soggette a sanzioni sia ai sensi della NIS2 che del GDPR. Tuttavia, l'Articolo 35 della NIS2 prevede che le sanzioni imposte ai sensi del GDPR per lo stesso incidente debbano essere prese in considerazione per evitare la doppia punizione.