Punti chiave

• La NIS2 si applica a medie e grandi organizzazioni in 18 settori critici, divisi tra Soggetti Essenziali e Soggetti Importanti con obblighi e massimali sanzionatori differenti.
• L'Italia ha recepito la NIS2 con il D.Lgs. 138/2024, in vigore da ottobre 2024, con piena applicazione delle sanzioni dal 2026. La Spagna ha allineato il proprio recepimento alle tempistiche UE.
• L'Articolo 21 impone dieci categorie di misure di gestione del rischio cyber: crittografia, MFA, sicurezza della supply chain, business continuity e altro.
• La notifica degli incidenti segue una scala temporale: allerta entro 24 ore, notifica entro 72 ore, rapporto finale entro 1 mese — molto più stringente del GDPR.
• Il top management risponde personalmente dell'approvazione e supervisione delle misure di cybersicurezza. I membri del consiglio devono ricevere formazione in materia.

A chi si rivolge questa guida

• CISO e responsabili della sicurezza che necessitano di un riferimento consolidato su ambito, misure e scadenze della NIS2.
• DPO e responsabili compliance che devono mappare gli obblighi NIS2 contro framework esistenti come GDPR, ISO 27001 e normative di settore.
• CIO e direttori IT che pianificano il percorso tecnico e il budget per colmare i gap NIS2.
• Consigli di amministrazione e organi di gestione responsabili dell'approvazione del programma di cybersicurezza e dell'assunzione della responsabilità personale.

La NIS2 — Network and Information Security Directive 2 — è un quadro legislativo UE che stabilisce un livello comune elevato di cybersicurezza in tutta l'Unione Europea. È stata adottata dal Parlamento Europeo e dal Consiglio nel dicembre 2022, è entrata in vigore il 16 gennaio 2023 e aveva come termine di recepimento per gli Stati Membri il 17 ottobre 2024.

La direttiva nasce da una necessità concreta. Gli attacchi informatici contro le organizzazioni dell'UE sono aumentati in modo significativo tra il 2022 e il 2024, con il solo ransomware che costa alle aziende europee miliardi di euro all'anno. La Direttiva NIS originale, pur essendo pionieristica, ha sofferto di un'implementazione incoerente tra gli Stati Membri e di un ambito ristretto che ha lasciato molti settori critici senza protezione.

La NIS2 affronta questi gap attraverso quattro cambiamenti principali: copertura settoriale più ampia, misure di sicurezza minime armonizzate, notifica incidenti più stringente e — aspetto cruciale — responsabilità diretta degli organi di gestione. La direttiva introduce inoltre poteri di vigilanza per le autorità nazionali, incluse ispezioni in loco, audit ad hoc e la capacità di sospendere funzioni esecutive dei leader non conformi.

La NIS2 utilizza un meccanismo di soglia dimensionale combinato con la classificazione settoriale per determinare l'applicabilità. La direttiva si applica, per default, a tutti i soggetti di medie e grandi dimensioni che operano in uno dei 18 settori coperti. La dimensione è determinata secondo la definizione standard UE di PMI (Raccomandazione 2003/361/CE).

I Soggetti Essenziali sono sottoposti alla vigilanza più stringente, al massimale sanzionatorio più alto e a una supervisione ex-ante proattiva da parte dell'autorità competente. Operano in settori la cui interruzione avrebbe conseguenze sistemiche sul mercato unico.

I Soggetti Importanti hanno un massimale sanzionatorio più basso e sono sottoposti a vigilanza ex-post: le autorità intervengono di norma dopo aver ricevuto evidenza di una violazione o di un incidente, anziché ispezionare proattivamente. Gli obblighi sostanziali dell'Articolo 21 — le dieci misure di gestione del rischio — sono comunque identici a quelli dei Soggetti Essenziali.

L'Articolo 21 della NIS2 impone ai soggetti in ambito di adottare "misure tecniche, operative e organizzative adeguate e proporzionate" per gestire i rischi di cybersicurezza. La direttiva elenca dieci categorie di misure che devono essere affrontate. Non sono raccomandazioni, ma requisiti minimi giuridicamente vincolanti, e la loro mancata implementazione è una violazione diretta che espone il soggetto e il suo management a sanzioni.

L'Articolo 23 della NIS2 stabilisce una scala temporale di notifica incidenti su tre livelli, significativamente più stringente del GDPR. Il cronometro parte nel momento in cui il soggetto viene a conoscenza di un incidente significativo — definito come qualsiasi incidente che ha causato o è in grado di causare grave interruzione operativa o perdita finanziaria, o che ha colpito altre persone fisiche o giuridiche con danno materiale o immateriale considerevole.

La sicurezza della supply chain è una delle espansioni più significative introdotte dalla NIS2 rispetto alla Direttiva NIS del 2016. L'Articolo 21(2)(d) impone esplicitamente ai soggetti di tenere conto della "sicurezza della supply chain, inclusi gli aspetti relativi alla sicurezza dei rapporti tra ciascun soggetto e i suoi fornitori o prestatori di servizi diretti". Non è una dichiarazione generica di best practice, ma un obbligo di conformità specifico.

La motivazione è semplice: la maggior parte degli incidenti cyber più dannosi in UE negli ultimi anni è stata ricondotta a fornitori, prestatori di servizi o componenti software compromessi. La NIS2 mira a colmare questo gap estendendo la responsabilità cyber lungo la catena del valore, senza però formalmente inserire i fornitori nel perimetro regolamentato salvo loro qualificazione autonoma.

In pratica ciò significa che un soggetto in ambito deve identificare i propri fornitori critici, valutarne la postura di sicurezza, imporre requisiti di sicurezza tramite contratto, monitorare i cambiamenti di tale postura nel tempo e trattare la compromissione di un fornitore critico come incidente notificabile ai sensi dell'Articolo 23 quando viene superata la soglia di impatto.

Cosa richiede concretamente la "sicurezza della supply chain"

• Mantenere un inventario aggiornato dei fornitori critici e dei prestatori di servizi — in particolare per cloud, managed services, software vendor e MSSP.
• Valutare la postura di sicurezza dei fornitori critici prima dell'onboarding e a intervalli definiti successivamente — tramite questionari, attestazioni, audit indipendenti o valutazioni tecniche.
• Inserire clausole di sicurezza nei contratti fornitore: controlli minimi, obblighi di notifica incidenti, diritti di audit, approvazione dei sub-processor, impegni sul trattamento dei dati, risoluzione per violazione.
• Monitorare incidenti e vulnerabilità dei fornitori: iscrizione ad advisory di sicurezza, mantenimento di canali di contatto, inclusione dei fornitori nelle esercitazioni.
• Propagare i requisiti: i fornitori critici devono imporre obblighi equivalenti ai propri sub-fornitori critici quando rilevanti per il servizio erogato.
• Includere il rischio fornitore nel piano di business continuity: fornitori alternativi, strategie di uscita, impegni di portabilità.

La NIS2 introduce una struttura sanzionatoria a due livelli che rispecchia quella del GDPR. Le sanzioni possono essere imposte sia al soggetto sia ai membri del suo organo di gestione. La direttiva conferisce inoltre alle autorità nazionali ampi poteri di vigilanza, inclusa la facoltà di sospendere certificazioni e funzioni esecutive.

Responsabilità Personale degli Organi di Gestione

L'Articolo 20 rende i membri dell'organo di gestione personalmente responsabili dell'approvazione delle misure di gestione del rischio cyber e della supervisione della loro implementazione. In caso di persistente non conformità del soggetto, le autorità nazionali possono — oltre alle multe — vietare temporaneamente ai singoli membri l'esercizio di funzioni dirigenziali. È un cambiamento di fondo: la NIS2 è il primo strumento UE di cybersicurezza che sanziona direttamente individui a livello di consiglio.

NIS2 e GDPR sono spesso confusi perché entrambi impongono obblighi di notifica incidenti ed entrambi prevedono multe amministrative commisurate al fatturato globale. Sono però strumenti fondamentalmente diversi che affrontano rischi diversi: il GDPR protegge i dati personali, la NIS2 protegge i sistemi informativi e di rete. Un singolo evento — per esempio un attacco ransomware — spesso attiverà entrambi.

Un approccio per fasi alla conformità NIS2 funziona meglio del tentativo di affrontare tutto in una volta. La checklist qui sotto organizza il lavoro in quattro fasi, dall'inquadramento al miglioramento continuo. Spunta le voci man mano che le validi con evidenze.

Orizon è una piattaforma europea di cybersicurezza progettata fin dal primo giorno attorno ai requisiti di sovranità, documentazione ed evidenza continua imposti dalla NIS2. La conformità non è un effetto collaterale dei nostri prodotti: è il loro asse principale di progettazione. La tabella seguente mappa le capacità principali di Orizon alle misure dell'Articolo 21 che supportano direttamente.

1. Prenota una valutazione di scoping NIS2 con il nostro team compliance per validare stato e priorità.
2. Richiedi una gap analysis rispetto all'Articolo 21 basata su controlli, politiche ed evidenze attuali.
3. Avvia una scansione gratuita della superficie di attacco esterna per stabilire una baseline di esposizione.