La Direttiva NIS 2 introduce nuovi obblighi in materia di sicurezza informatica per determinate categorie di organizzazioni. Per le aziende, capire se la normativa è applicabile alla propria attività è il primo passo per individuare gli adempimenti richiesti e pianificare gli interventi necessari. Recepita in Italia con il Decreto legislativo 4 settembre 2024, n. 138, la NIS 2 rafforza le misure di prevenzione e gestione dei rischi informatici, attribuisce responsabilità specifiche agli organi di amministrazione e direzione e stabilisce obblighi per la gestione e la notifica degli incidenti. Ma a chi si applica la NIS2 e cosa devono fare le aziende coinvolte? Per rispondere occorre partire dai criteri previsti dalla normativa e distinguere gli obblighi applicabili alle diverse tipologie di soggetti.

Che cos’è la Direttiva NIS 2 e cosa prevede

La Direttiva NIS 2 è una normativa europea che mira a garantire un livello elevato e comune di sicurezza delle reti e dei sistemi informativi nell’Unione europea. Ha sostituito la precedente direttiva NIS del 2016, ampliando il perimetro dei soggetti coinvolti e rafforzando le disposizioni sulla gestione dei rischi informatici, sulla notifica degli incidenti e sulla vigilanza. L’obiettivo è migliorare la capacità delle organizzazioni di prevenire le minacce, contenere gli effetti degli incidenti e assicurare la continuità dei servizi, riducendo l’impatto che un evento informatico può avere sulle attività aziendali.

La normativa considera la cibersicurezza una responsabilità che coinvolge l’intera organizzazione: accanto agli aspetti tecnici, assumono rilievo le decisioni della direzione, la gestione dei rischi, la definizione delle procedure e la preparazione delle persone. Per i soggetti interessati, questo significa integrare la sicurezza informatica nei processi aziendali, anziché affidarla esclusivamente alla funzione IT. Il decreto italiano disciplina, tra gli altri aspetti, l’individuazione dei soggetti interessati, le misure di gestione del rischio e gli obblighi di notifica, prevedendo responsabilità specifiche per gli organi di amministrazione e direzione.

La NIS 2 non si applica automaticamente a tutte le imprese, quindi il perimetro va verificato caso per caso prima di organizzare il percorso di adeguamento. Nei paragrafi successivi vedremo quali aziende possono essere coinvolte e quali aspetti considerare.

NIS 2: a quali aziende si applica la direttiva?

La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, si applica a determinate categorie di soggetti pubblici e privati individuate in base al settore di attività e ai criteri previsti dalla normativa. Per stabilire se un’organizzazione è soggetta agli obblighi di sicurezza informatica NIS 2, occorre verificare la tipologia di attività svolta, le dimensioni aziendali e le eventuali condizioni particolari previste dal decreto. La verifica deve tenere conto anche dei rapporti societari rilevanti e delle specifiche ipotesi in cui l’applicazione della disciplina prescinde dalle soglie dimensionali ordinarie.

Quali settori e attività rientrano nella NIS2?

Il D.Lgs. 138/2024 individua i settori interessati attraverso gli allegati I e II, che comprendono attività rilevanti per il funzionamento dell’economia e della società. Tra queste figurano energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. Rientrano inoltre, secondo le condizioni previste dalla normativa, alcuni servizi postali e di corriere, la gestione dei rifiuti, la produzione e la distribuzione di sostanze chimiche, determinati comparti manifatturieri, i fornitori di servizi digitali e le organizzazioni che svolgono attività di ricerca. Il settore da solo non basta: conta confrontare l’attività effettivamente svolta con le categorie previste dal decreto. Il codice ATECO o la denominazione commerciale, presi singolarmente, non sono sufficienti per concludere che un’organizzazione sia inclusa o esclusa dal perimetro normativo.

La NIS 2 si applica anche alle PMI? Soglie dimensionali, eccezioni e gruppi societari

Anche le PMI possono rientrare nel campo di applicazione della NIS 2. Per i soggetti appartenenti ai settori indicati negli allegati I e II, le dimensioni aziendali rappresentano un criterio generale di inclusione, ma la normativa prevede eccezioni per alcune categorie, per le quali l’assoggettamento può prescindere dalle soglie dimensionali. Di conseguenza, una PMI non dovrebbe escludere a priori l’applicabilità della direttiva basandosi esclusivamente sul numero di dipendenti o sul fatturato, ma verificare anche l’attività svolta e le eventuali condizioni specifiche previste dalla normativa.

Per verificare le soglie dimensionali, può essere necessario considerare anche i rapporti con imprese associate o collegate, applicando i criteri europei di classificazione delle PMI. I dati della singola società potrebbero quindi non essere sufficienti per determinare la propria dimensione ai fini della normativa. Questo non significa, però, che tutte le società appartenenti allo stesso gruppo siano automaticamente soggette alla NIS2: l’applicabilità deve essere valutata per ciascun soggetto giuridico.

Per documentare correttamente la verifica, è opportuno raccogliere i dati dimensionali necessari, ricostruire i rapporti societari e controllare le eventuali condizioni speciali previste dal decreto. La valutazione dovrebbe inoltre essere confrontata con il testo normativo e con le comunicazioni ufficiali dell’Agenzia per la cybersicurezza nazionale (ACN), così da individuare gli obblighi applicabili all’organizzazione.

Qual è la differenza tra soggetti essenziali e soggetti importanti NIS 2?

Il D.Lgs. 138/2024 distingue tra soggetti essenziali e soggetti importanti, due categorie che identificano le organizzazioni rientranti nel perimetro della NIS 2. La classificazione segue criteri specifici della normativa e non coincide con una semplice distinzione tra grandi imprese e PMI. L’articolo 6 individua i soggetti essenziali attraverso criteri specifici e stabilisce che sono considerati importanti i soggetti che rientrano nell’ambito di applicazione del decreto senza soddisfare i criteri per la classificazione come essenziali. La distinzione è rilevante perché determina il quadro di riferimento per la vigilanza e per l’applicazione degli obblighi previsti dalla normativa. In particolare, sono considerati soggetti essenziali, tra gli altri, determinati soggetti dell’allegato I che superano i massimali dimensionali previsti per le medie imprese, le entità identificate come critiche secondo la normativa pertinente e alcune categorie di fornitori di servizi digitali e di comunicazione, amministrazioni e prestatori di servizi fiduciari, secondo le condizioni stabilite dall’articolo 6. Alcuni soggetti possono essere classificati come essenziali indipendentemente dalle dimensioni, mentre per altri rilevano ulteriori criteri o l’individuazione da parte dell’autorità competente. I soggetti importanti comprendono invece gli altri soggetti che rientrano nel campo di applicazione del decreto e non sono classificati come essenziali. Un’azienda non dovrebbe attribuirsi da sola una categoria: la valutazione va condotta alla luce delle disposizioni applicabili e delle comunicazioni ufficiali dell’ACN, che individua e comunica l’inserimento negli elenchi previsti dalla normativa.

Quali obblighi prevede la NIS 2 per le aziende?

Le organizzazioni che rientrano nel campo di applicazione della Direttiva NIS 2 devono adottare misure adeguate per gestire i rischi informatici e proteggere le reti e i sistemi informativi utilizzati nelle proprie attività o nella fornitura dei servizi. In Italia, gli obblighi sono disciplinati dal D.Lgs. 138/2024 e riguardano sia gli aspetti tecnici sia quelli organizzativi e gestionali. Le misure devono essere proporzionate ai rischi, alle dimensioni del soggetto, alla probabilità che si verifichino incidenti e alla loro possibile gravità. Non esiste quindi un’unica soluzione valida per tutte le organizzazioni: ciascun soggetto deve individuare gli interventi pertinenti sulla base del proprio contesto operativo e dei requisiti applicabili.

Quali misure di gestione del rischio e di sicurezza sono richieste?

L’articolo 24 del D.Lgs. 138/2024 richiede ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi di sicurezza informatica e prevenire o ridurre l’impatto degli incidenti. Tra gli ambiti da considerare rientrano l’analisi dei rischi e le politiche di sicurezza dei sistemi informativi, la gestione degli incidenti, la continuità operativa, il ripristino dei sistemi e le copie di sicurezza. La normativa considera inoltre la sicurezza della catena di approvvigionamento, la gestione delle vulnerabilità, la verifica dell’efficacia delle misure adottate, la formazione in materia di sicurezza informatica, il controllo degli accessi, l’uso della crittografia e, ove opportuno, l’autenticazione a più fattori.

L’attuazione di questi requisiti richiede di comprendere quali processi aziendali dipendano dai sistemi informativi, quali conseguenze avrebbe un’interruzione e quali risorse siano necessarie per ripristinare le attività. Un’organizzazione dovrebbe quindi valutare i rischi, definire le priorità di intervento, individuare i responsabili delle misure e verificare nel tempo l’efficacia dei controlli. È importante che le procedure siano coerenti con le attività effettivamente svolte e che le misure adottate possano essere documentate e riesaminate. L’obiettivo non è soltanto introdurre strumenti di protezione, ma costruire un sistema di gestione del rischio adeguato alle caratteristiche dell’organizzazione.

Quali responsabilità hanno amministratori e direzione?

La NIS 2 attribuisce responsabilità specifiche agli organi di amministrazione e direzione dei soggetti interessati. In base all’articolo 23 del D.Lgs. 138/2024, tali organi approvano le modalità di attuazione delle misure di gestione dei rischi per la sicurezza informatica, ne sovrintendono all’attuazione e sono tenuti a seguire una formazione in materia. Devono inoltre promuovere la formazione periodica dei dipendenti e rispondono, secondo quanto previsto dalla legge, delle violazioni degli obblighi applicabili.

La sicurezza informatica diventa così una componente della governance aziendale. Sul piano operativo, è utile definire con chiarezza chi coordina le attività di sicurezza, chi gestisce le verifiche tecniche, chi informa la direzione e chi interviene in caso di incidente. Il coinvolgimento dei vertici dovrebbe tradursi in decisioni verificabili sulle priorità, sulle risorse e sui tempi di attuazione, oltre che in un monitoraggio periodico dei rischi.

Quali obblighi di formazione e sensibilizzazione sono previsti?

La formazione sulla sicurezza informatica è una componente delle misure di gestione del rischio previste dalla NIS 2. L’articolo 23 del D.Lgs. 138/2024 stabilisce specifici obblighi formativi per gli organi di amministrazione e direzione e richiede che questi promuovano una formazione periodica per i dipendenti.

I contenuti della formazione dovrebbero essere calibrati sui rischi dell’organizzazione e sulle responsabilità dei destinatari. Tra gli argomenti da affrontare rientrano il riconoscimento del phishing, la protezione delle credenziali, la gestione sicura delle informazioni aziendali e la segnalazione tempestiva di eventi sospetti. Mentre gli organi direttivi devono acquisire le competenze necessarie per valutare i rischi e assumere decisioni consapevoli in materia di sicurezza, il personale deve conoscere le procedure da seguire nella gestione delle informazioni e nella segnalazione delle anomalie. È inoltre importante documentare le attività formative, verificarne periodicamente l’efficacia e aggiornare i contenuti in base all’evoluzione delle minacce e delle esigenze aziendali. La formazione contribuisce così al percorso di adeguamento alla NIS 2, senza sostituire le altre misure tecniche, operative e organizzative previste dalla normativa.

Quali sono le scadenze NIS 2 e gli adempimenti previsti da ACN?

Per le organizzazioni soggette alla Direttiva NIS 2, gli adempimenti previsti dal D.Lgs. 138/2024 comprendono la registrazione sulla piattaforma dell’ Agenzia per la cybersicurezza nazionale (ACN) , l’aggiornamento delle informazioni richieste e l’attuazione delle misure di sicurezza. Le relative scadenze non coincidono necessariamente e devono essere verificate in base alla categoria del soggetto e ai provvedimenti applicabili. È quindi importante distinguere gli obblighi amministrativi dalle attività operative necessarie a gestire i rischi informatici. Il D.Lgs. 138/2024 è consultabile sulla Gazzetta Ufficiale.

Registrazione e aggiornamento delle informazioni sulla piattaforma ACN

L’articolo 7 del D.Lgs. 138/2024 disciplina l’identificazione e l’elencazione dei soggetti essenziali e importanti. In via ordinaria, la registrazione sulla piattaforma ACN e l’aggiornamento delle informazioni richieste avvengono dal 1° gennaio al 28 febbraio di ogni anno. I dati comprendono, tra gli altri, la ragione sociale, i recapiti, le informazioni sul punto di contatto e gli elementi necessari a identificare il soggetto interessato. L’ACN predispone entro il 31 marzo l’elenco annuale e comunica agli interessati l’inserimento, la permanenza o l’espunzione dall’elenco, secondo le procedure previste dalla normativa. La registrazione non equivale alla conformità alle misure di sicurezza e non esaurisce gli obblighi previsti dalla NIS 2. Ogni organizzazione deve verificare le comunicazioni ricevute e i termini applicabili alla propria posizione, predisponendo uno scadenzario con le attività da svolgere, i responsabili e le relative evidenze. Per le misure di sicurezza occorre fare riferimento alle determinazioni ACN pertinenti, senza presumere che esista un’unica scadenza valida per tutti i soggetti.

NIS 2: quali sono i tempi per la notifica degli incidenti informatici?

Il D.Lgs. 138/2024 stabilisce che i soggetti essenziali e i soggetti importanti devono notificare al CSIRT Italia gli incidenti informatici con un impatto significativo sulla fornitura dei loro servizi. Secondo l’articolo 25, la sequenza prevede una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese.

Scadenze NIS 2 per la segnalazione degli incidenti: cosa prevede ciascun termine?

Per gli incidenti significativi, la normativa prevede i seguenti termini, calcolati a partire dalla conoscenza dell’incidente o dalla trasmissione della notifica, a seconda dell’adempimento:

• Pre-notifica entro 24 ore: deve essere trasmessa senza ingiustificato ritardo e comunque entro 24 ore da quando il soggetto viene a conoscenza dell’incidente significativo. Ove possibile, deve indicare se l’evento può essere riconducibile ad atti illegittimi o malevoli e se può avere un impatto transfrontaliero.
• Notifica dell’incidente entro 72 ore: deve essere inviata senza ingiustificato ritardo e comunque entro 72 ore dalla conoscenza dell’incidente significativo. Ove possibile, aggiorna le informazioni già comunicate e comprende una valutazione iniziale della gravità e dell’impatto, nonché gli eventuali indicatori di compromissione disponibili.
• Relazione intermedia: viene trasmessa su richiesta del CSIRT Italia e riporta gli aggiornamenti pertinenti sullo stato dell’incidente.
• Relazione finale entro un mese: deve essere inviata entro un mese dalla trasmissione della notifica dell’incidente. Comprende una descrizione dettagliata dell’evento, la sua gravità e il suo impatto, la probabile causa originaria e le misure di attenuazione adottate o in corso, oltre alle informazioni disponibili sull’eventuale impatto transfrontaliero. Se l’incidente è ancora in corso al momento dell’invio della relazione finale, il soggetto deve trasmettere relazioni mensili sui progressi e una relazione finale entro un mese dalla conclusione della gestione dell’incidente.
• Prestatori di servizi fiduciari: per gli incidenti significativi che interessano la fornitura dei servizi fiduciari è prevista una deroga specifica: la notifica deve essere effettuata senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell’incidente, anziché entro 72 ore.

Quando un incidente informatico è considerato significativo?

Non ogni anomalia tecnica comporta automaticamente l’obbligo di notifica previsto dalla NIS 2. Ai sensi dell’articolo 25, comma 4, del D.Lgs. 138/2024, un incidente è considerato significativo quando ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato, oppure quando ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche, provocando perdite materiali o immateriali considerevoli. La valutazione deve quindi considerare non soltanto l’origine tecnica dell’evento, ma anche le sue conseguenze effettive o potenziali sulla continuità dei servizi e sui soggetti coinvolti. Un’interruzione prolungata di un servizio essenziale per l’attività, una compromissione dei sistemi con conseguenze rilevanti o un incidente che coinvolga altri soggetti possono richiedere un’analisi tempestiva della significatività. La decisione deve basarsi sui criteri normativi e sulle modalità applicabili, evitando di escludere un evento soltanto perché le sue cause non sono ancora state chiarite.

Come preparare l’azienda alla gestione e alla notifica degli incidenti?

Per rispettare le scadenze di notifica NIS 2, è opportuno definire in anticipo una procedura che indichi chi deve ricevere le segnalazioni interne, chi raccoglie le informazioni tecniche, chi valuta l’impatto dell’incidente e chi è autorizzato a gestire le comunicazioni con il CSIRT Italia. La procedura dovrebbe individuare anche i sostituti dei responsabili, i recapiti alternativi da utilizzare in caso di indisponibilità dei sistemi aziendali e le modalità per conservare le informazioni utili alla ricostruzione dell’evento.

È consigliabile predisporre modelli per raccogliere i dati iniziali, registrare gli orari delle attività, documentare le decisioni e seguire le scadenze delle diverse comunicazioni. Esercitazioni periodiche basate su scenari realistici, come un attacco ransomware o l’indisponibilità di un sistema gestionale, aiutano a verificare se le persone coinvolte conoscono i propri compiti e se le informazioni necessarie sono reperibili in tempi adeguati. La preparazione organizzativa deve essere coordinata con le misure tecniche di risposta e ripristino, così da contenere gli effetti dell’incidente e adempiere agli obblighi previsti dalla normativa.

NIS 2 e fornitori: quali obblighi di sicurezza riguardano la filiera?

La sicurezza della catena di approvvigionamento è uno degli aspetti considerati dalla Direttiva NIS 2 nella gestione dei rischi informatici. Un incidente che coinvolge un fornitore può compromettere i sistemi, le informazioni o la continuità operativa dell’azienda cliente, soprattutto quando i servizi esterni sono integrati nei processi aziendali o prevedono accessi alle reti e ai sistemi informativi. Per questo motivo, l’articolo 24 del D.Lgs. 138/2024 richiede ai soggetti essenziali e importanti di considerare, tra le misure di sicurezza, anche i rischi legati ai rapporti con i propri fornitori diretti e con i fornitori di servizi. La valutazione deve tenere conto delle vulnerabilità specifiche dei fornitori e della qualità complessiva dei loro prodotti e delle loro pratiche di sicurezza informatica.

Un fornitore di un soggetto NIS deve adeguarsi alla direttiva?

Essere fornitori di un soggetto NIS non comporta automaticamente l’assoggettamento diretto alla NIS 2. La sua applicabilità va verificata con gli stessi criteri illustrati in precedenza. Un’impresa può quindi essere chiamata a rispettare requisiti di sicurezza richiesti da un cliente senza essere, per questo solo motivo, un soggetto essenziale o importante ai sensi della normativa. La distinzione è rilevante soprattutto per le PMI che forniscono servizi informatici, assistenza tecnica, manutenzione, infrastrutture digitali o altri servizi strategici a organizzazioni soggette alla direttiva. Il cliente può richiedere informazioni sulle misure adottate, sulle modalità di gestione degli accessi, sulle procedure di risposta agli incidenti e sulla continuità operativa, in funzione dei rischi connessi al rapporto. Queste richieste possono derivare da clausole contrattuali, procedure di qualifica dei fornitori o verifiche della catena di approvvigionamento. Restano distinti gli obblighi contrattuali da quelli imposti direttamente dalla legge, che devono essere valutati caso per caso.

Quali misure di sicurezza può richiedere un cliente soggetto alla NIS 2?

Le richieste rivolte ai fornitori dipendono dalla natura del servizio, dal livello di accesso ai sistemi aziendali e dai rischi che il rapporto può comportare. Un cliente può, per esempio, chiedere di descrivere le misure di protezione delle informazioni, le modalità di gestione delle credenziali, le procedure di aggiornamento dei sistemi e i processi utilizzati per segnalare eventuali incidenti. Possono essere richieste anche informazioni sulle copie di sicurezza, sul ripristino dei servizi, sulla gestione delle vulnerabilità e sulla formazione del personale che opera sui sistemi o tratta dati aziendali. Per rispondere in modo efficace, il fornitore dovrebbe predisporre informazioni aggiornate e verificabili sulle proprie pratiche di sicurezza, evitando dichiarazioni generiche o promesse non supportate da evidenze. È utile raccogliere le procedure effettivamente adottate, individuare i referenti per le richieste del cliente e definire modalità di comunicazione tempestiva in caso di eventi che possano compromettere il servizio. L’obiettivo è dimostrare in modo proporzionato come vengono gestiti i rischi pertinenti al rapporto commerciale, senza confondere le singole richieste contrattuali con una certificazione generale di conformità alla NIS 2.

Come può un’azienda prepararsi alle verifiche di sicurezza dei clienti?

Per prepararsi alle verifiche di sicurezza dei clienti, un’azienda dovrebbe censire i servizi forniti, gli accessi concessi e le informazioni trattate, individuando i rischi connessi al rapporto commerciale. È utile verificare che le responsabilità interne siano definite e che esistano procedure adeguate per la gestione degli incidenti, la protezione degli accessi e la continuità del servizio. Un ulteriore passaggio consiste nell’esaminare i contratti e i questionari di sicurezza ricevuti, chiarendo quali requisiti siano applicabili e quali evidenze possano dimostrarne il rispetto. Questa preparazione aiuta a rispondere alle richieste dei clienti in modo documentato e proporzionato ai rischi, senza confondere gli obblighi contrattuali con quelli previsti direttamente dal D.Lgs. 138/2024.

NIS 2 e ISO 27001: la certificazione è sufficiente per essere conformi?

La Direttiva NIS 2 e la norma ISO/IEC 27001 condividono l’obiettivo di migliorare la sicurezza delle informazioni e la gestione dei rischi informatici, ma hanno natura e finalità differenti. La NIS 2, recepita in Italia con il D.Lgs. 138/2024, stabilisce obblighi giuridici per i soggetti che rientrano nel suo campo di applicazione. La ISO 27001, invece, definisce i requisiti per istituire, attuare, mantenere e migliorare un sistema di gestione della sicurezza delle informazioni (ISMS), che può essere sottoposto a certificazione da parte di un organismo competente. Per un’organizzazione, adottare questo standard può rappresentare una base utile per strutturare responsabilità, analisi dei rischi, controlli e processi di miglioramento continuo.

Quali aspetti della ISO 27001 possono supportare l’adeguamento alla NIS 2?

Un sistema di gestione conforme alla ISO/IEC 27001 può supportare diverse attività pertinenti alla NIS 2, tra cui la valutazione dei rischi, la definizione delle politiche di sicurezza, la gestione degli accessi, la formazione del personale e il riesame periodico dei controlli. Procedure documentate e responsabilità definite possono inoltre facilitare la raccolta delle evidenze necessarie a verificare l’attuazione delle misure.

Il contributo dello standard dipende tuttavia dal perimetro del sistema di gestione e dalla corrispondenza tra i controlli adottati e gli obblighi normativi applicabili. Un’organizzazione certificata dovrebbe quindi confrontare il proprio sistema con il D.Lgs. 138/2024 e con le specifiche di base e le determinazioni ACN pertinenti, individuando eventuali carenze e gli interventi necessari.

Perché la certificazione ISO 27001 non garantisce automaticamente la conformità NIS 2?

La certificazione ISO 27001 non dimostra, da sola, la piena conformità alla NIS 2. I due riferimenti hanno ambiti differenti: il sistema di gestione ISO viene applicato a un perimetro definito dall’organizzazione, mentre gli obblighi normativi dipendono dalla posizione del soggetto e dalle disposizioni di legge applicabili. La NIS 2 comprende inoltre adempimenti specifici che devono essere verificati separatamente, come la registrazione e l’aggiornamento delle informazioni richieste dall’ACN, le responsabilità degli organi di amministrazione e direzione e la notifica degli incidenti significativi secondo le modalità previste. Un’azienda certificata può quindi disporre di processi già utili per il percorso di adeguamento, ma deve comunque verificare la copertura dei requisiti normativi e delle misure richieste alla propria categoria. Analogamente, l’assenza di una certificazione ISO 27001 non implica automaticamente l’impossibilità di rispettare la NIS 2: ciò che conta è l’effettiva attuazione degli obblighi applicabili e la capacità di dimostrarla. La certificazione deve essere considerata uno strumento di gestione, non un sostituto della verifica di conformità normativa. Per approfondire i requisiti e il funzionamento di un sistema di gestione della sicurezza delle informazioni, è possibile consultare la pagina di Just Consulting dedicata alla certificazione ISO 27001.

NIS 2: quali sanzioni sono previste per le aziende che non rispettano gli obblighi?

Il D.Lgs. 138/2024 prevede sanzioni amministrative per le violazioni degli obblighi in materia di sicurezza informatica, gestione dei rischi e notifica degli incidenti. Le conseguenze possono riguardare sia l’organizzazione sia, nei casi previsti dalla legge, le persone fisiche responsabili. Il regime sanzionatorio distingue tra soggetti essenziali e soggetti importanti e tiene conto della tipologia di violazione e dei criteri stabiliti dalla normativa. Per le aziende, conoscere le possibili conseguenze è importante per valutare la rilevanza degli adempimenti e assicurare che le misure di sicurezza siano attuate e documentate. I massimali previsti dalla legge non rappresentano importi applicati automaticamente a ogni irregolarità: la sanzione effettiva dipende dalla violazione contestata e dalle circostanze pertinenti.

Quali sono gli importi delle sanzioni NIS 2?

Per le violazioni indicate dall’articolo 38, comma 8, del D.Lgs. 138/2024, il decreto stabilisce i seguenti massimali per i soggetti privati:

• Soggetti essenziali: sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure fino al 2% del fatturato annuo mondiale totale dell’esercizio precedente, se superiore.
• Soggetti importanti: sanzioni amministrative pecuniarie fino a 7 milioni di euro oppure fino all’1,4% del fatturato annuo mondiale totale dell’esercizio precedente, se superiore.

Questi massimali si riferiscono alle violazioni espressamente disciplinate dal decreto. L’articolo 38 individua le fattispecie sanzionabili e disciplina ulteriori conseguenze, comprese quelle relative agli obblighi degli organi di amministrazione e direzione, alle misure di gestione del rischio previste dall’articolo 24 e alle notifiche disciplinate dall’articolo 25. Per individuare il regime applicabile a una determinata situazione è quindi necessario verificare il testo normativo e la specifica disposizione violata.

Quali altre conseguenze può comportare il mancato adeguamento alla NIS 2?

Oltre alle sanzioni pecuniarie, il decreto attribuisce all’autorità competente poteri di vigilanza, verifica e intervento. In presenza delle condizioni previste dalla normativa, l’ACN può adottare misure correttive e diffide per richiedere al soggetto interessato di porre rimedio alle carenze riscontrate. Per i soggetti essenziali sono inoltre previste, nei casi stabiliti dall’articolo 38, misure che possono comportare la sospensione temporanea di certificati o autorizzazioni pertinenti e, nei confronti delle persone fisiche individuate dalla legge, l’incapacità temporanea di svolgere funzioni dirigenziali all’interno del soggetto interessato. Le conseguenze dipendono dalla natura della violazione, dal regime applicabile e dall’eventuale mancato rispetto delle misure correttive richieste. È importante che l’organizzazione sia in grado di individuare le proprie responsabilità, verificare gli obblighi applicabili e dimostrare l’attuazione delle misure richieste.

Come ridurre il rischio di violazioni degli obblighi NIS 2?

Per ridurre il rischio di inosservanze, un’organizzazione dovrebbe partire dalla verifica della propria posizione normativa e confrontare gli obblighi applicabili con le misure effettivamente adottate. È utile documentare l’analisi dei rischi, assegnare responsabilità precise, predisporre procedure per la gestione degli incidenti e verificare che i termini di notifica siano conosciuti dalle persone incaricate. Anche la formazione degli organi di amministrazione e direzione e quella periodica del personale contribuiscono a integrare la sicurezza informatica nei processi aziendali. Un piano di adeguamento dovrebbe prevedere responsabili, priorità, risorse e scadenze, insieme a verifiche periodiche sull’efficacia dei controlli. La documentazione deve riflettere le attività realmente svolte e consentire di ricostruire decisioni, interventi e risultati. Questo approccio aiuta a individuare tempestivamente le carenze e a intervenire prima che si traducano in violazioni, senza considerare la sola presenza di procedure scritte una prova sufficiente dell’effettiva gestione dei rischi.

Come adeguarsi alla NIS 2: da dove iniziare?

Per affrontare gli obblighi della Direttiva NIS 2, un’azienda deve trasformare i requisiti normativi in attività concrete, assegnando responsabilità, risorse e priorità. Il percorso di adeguamento deve partire dalla verifica dell’applicabilità del D.Lgs. 138/2024 e proseguire con l’analisi dei rischi, la valutazione delle misure esistenti e la pianificazione degli interventi necessari. Non si tratta soltanto di introdurre nuove tecnologie: occorre coordinare direzione, responsabili informatici e funzioni aziendali, affinché le procedure siano applicabili alle attività quotidiane e possano essere verificate nel tempo. Un approccio strutturato aiuta a individuare le carenze, ridurre le sovrapposizioni tra attività e documentare i progressi compiuti.

Quali sono i passaggi per organizzare l’adeguamento alla NIS 2?

Per pianificare l’adeguamento, è utile articolare il lavoro in cinque fasi, adattandole alle caratteristiche dell’organizzazione e agli obblighi effettivamente applicabili.

• Verificare l’applicabilità: esaminare il settore e le attività svolte, le dimensioni aziendali, i rapporti societari rilevanti e le comunicazioni ricevute dall’ACN.
• Assegnare ruoli e responsabilità: individuare i referenti per il coordinamento, la gestione dei rischi e le comunicazioni in caso di incidente, assicurando il coinvolgimento degli organi direttivi.
• Valutare le misure esistenti: confrontare i controlli tecnici e organizzativi con gli obblighi applicabili, individuando le carenze da colmare.
• Pianificare gli interventi: stabilire priorità, risorse, responsabili e tempi di realizzazione in funzione dei rischi e delle scadenze pertinenti.
• Monitorare i risultati: verificare l’efficacia dei controlli, aggiornare le misure quando necessario e riesaminare periodicamente il piano.

Il piano dovrebbe essere aggiornato quando cambiano i processi aziendali, i sistemi informativi, i fornitori o i rischi individuati. È importante conservare evidenze attendibili delle attività svolte, così da verificare lo stato di avanzamento e documentare l’attuazione delle misure.

Quali documenti e procedure è utile predisporre?

La documentazione deve riflettere le misure effettivamente adottate e consentire di ricostruire responsabilità, decisioni e attività svolte. In funzione degli obblighi applicabili e dei rischi dell’organizzazione, può essere utile predisporre o aggiornare:

• Analisi dei rischi e politiche di sicurezza: per individuare le minacce e definire i criteri di protezione.
• Ruoli e responsabilità: per chiarire chi approva, attua e verifica le misure.
• Procedure di gestione degli incidenti: per disciplinare la segnalazione interna, la valutazione dell’impatto e le comunicazioni previste.
• Piani di continuità operativa e ripristino: per stabilire le priorità di ripartenza e le modalità di recupero dei sistemi e dei dati.
• Procedure per la sicurezza dei fornitori: per valutare i rischi connessi ai servizi esterni.
• Registri delle verifiche e della formazione: per documentare i controlli, le iniziative formative e le azioni correttive.

L’elenco è un riferimento operativo, non un catalogo universale di documenti obbligatori per ogni azienda. I contenuti devono essere definiti sulla base del D.Lgs. 138/2024, delle determinazioni ACN pertinenti e dei rischi specifici. La documentazione è utile quando corrisponde a processi realmente applicati e sottoposti a verifica.

Come può Just Consulting supportare la formazione sulla sicurezza informatica?

Just Consulting propone percorsi formativi dedicati alla sicurezza informatica, con contenuti che possono riguardare il riconoscimento delle minacce digitali, il phishing, la protezione delle informazioni e l’adozione di comportamenti sicuri nell’attività lavorativa.

La scelta del percorso dovrebbe tenere conto dei destinatari, dei rischi aziendali e delle competenze da sviluppare, distinguendo le esigenze degli organi direttivi da quelle del personale. La formazione è un supporto al percorso di adeguamento, ma non equivale, da sola, alla conformità alla NIS 2.

Vuoi rafforzare le competenze di sicurezza informatica nella tua azienda?
Contatta Just Consulting per valutare i percorsi formativi più adatti alle competenze del tuo personale e alle esigenze della tua organizzazione.