NIS2, la cybersecurity secondo la UE: obblighi, rischi e nuove responsabilità per le imprese
ROMA (brevi) – Un elemento che clienti, partner e autorità considereranno sempre di più nella valutazione complessiva di un’impresa
La cybersicurezza sembra già solo dal nome un tema semplicemente tecnico: firewall, antivirus, backup, protezione delle reti, sono strumenti essenziali, ma spesso gestiti come ambito riservato al reparto IT, con un coinvolgimento limitato del management.
La direttiva NIS2 porta questo tema su un altro piano e lo avvicina in modo evidente alla governance aziendale. Angela Lo Giudice, avvocato di Polimeni.Legal, esperta in privacy e GDPR, riassume così il cambio di prospettiva: «Con la NIS2 la cybersecurity viene collocata sul piano della responsabilità organizzativa. La direttiva chiede alle aziende un sistema di prevenzione, controllo e risposta che coinvolga governance, processi interni, fornitori e personale, inserendo la sicurezza informatica al centro delle scelte di conformità e di gestione del rischio.»
La NIS2 punta a rendere più solido il livello di cybersicurezza in tutta l’Unione, con l’obiettivo di andare a ridurre il numero e l’impatto degli incidenti che possono mettere in difficoltà reti, sistemi informativi e servizi considerati essenziali per cittadini e imprese.
La direttiva entra nel dettaglio di ciò che le organizzazioni devono fare in termini di gestione del rischio, segnalazione degli incidenti e coordinamento con le autorità, coinvolgendo in modo esplicito anche gli organi di vertice.
Uno degli aspetti più rilevanti della normativa deriva anche dall’estensione del perimetro, infatti, la Commissione Europea indica come la NIS2 copra ben 18 settori critici, rispetto alla prima NIS, includendo attualmente anche realtà come i fornitori di comunicazioni elettroniche pubbliche, una fascia più ampia di servizi digitali, la gestione dei rifiuti e delle acque reflue, alcune attività industriali considerate strategiche, i servizi postali e di corriere, la pubblica amministrazione centrale e regionale e il settore spaziale.
In questo modo, la platea dei soggetti coinvolti aumenta e comprende anche organizzazioni che fino a poco tempo fa non si consideravano esposte in prima linea sul fronte della cybersecurity.
Dalla NIS alla NIS2: i cambiamenti più rilevanti
La direttiva NIS del 2016 aveva segnato il primo passo verso un quadro europeo comune sulla sicurezza di reti e sistemi informativi. All’epoca si trattava soprattutto di fissare alcune regole di base. Nel frattempo, però, lo scenario è cambiato: gli attacchi sono diventati più frequenti e sofisticati, la dipendenza da servizi digitali è cresciuta e la filiera tecnologica si è allungata, mettendo in luce quanto un singolo fornitore vulnerabile possa creare problemi a cascata.
La NIS2 nasce dentro questo contesto. Allarga l’elenco dei soggetti coinvolti, rafforza gli strumenti a disposizione delle autorità di controllo e precisa meglio cosa ci si aspetta dalle imprese sul piano della gestione del rischio. Gli organi di direzione e amministrazione vengono chiamati in causa in modo esplicito: la cybersecurity entra tra i temi che il vertice aziendale deve conoscere, seguire e valutare.
Nelle comunicazioni ufficiali la Commissione segnala che l’assenza di misure adeguate di gestione del rischio cyber può avere conseguenze anche per chi siede nei consigli di amministrazione. La sicurezza informatica smette di essere solo un capitolo tecnico e diventa una voce stabile nella governance, al fianco di altri profili di rischio già consolidati.
Gli obblighi per le imprese: analisi del rischio, incidenti e continuità operativa
Questa nuova normativa distingue le aziende coinvolte in due macrocategorie, cioè essenziali e importanti. Tale distinzione si basa sostanzialmente sulla grandezza dell’azienda stessa. Infatti, le micro e piccole imprese sono escluse da alcuni settori (ad esempio, energia o settore sanitario) e comprese in altri (ad esempio, pubblica amministrazione e, in alcuni casi, per le infrastrutture digitali).
Pertanto, è innanzitutto fondamentale capire se effettivamente una specifica azienda sia tenuta o meno ad adeguarsi.
Per le organizzazioni interessate dalla NIS2, il cuore del lavoro sta nell’impostare un sistema di gestione del rischio coerente con la propria dimensione e con il ruolo che ricoprono nel mercato.
La direttiva richiama in modo espresso alcuni ambiti che devono essere presidiati: valutazione dei rischi, procedure per affrontare gli incidenti, piani di continuità operativa, attenzione alla sicurezza nella supply chain, criteri di sicurezza nello sviluppo e nella manutenzione di reti e sistemi, gestione delle vulnerabilità, formazione del personale e regole di base di igiene informatica.
In pratica, non si parla più solo di strumenti, ma di un insieme di processi e responsabilità che devono essere riconoscibili dall’esterno e sostenibili nel tempo.
In azienda questo si traduce in un lavoro che va oltre l’installazione di singoli strumenti tecnici. Serve un assetto organizzativo in grado di individuare i rischi, definire ruoli e responsabilità, gestire gli incidenti, assicurare il ripristino dei servizi e documentare le attività svolte.
La cybersecurity entra così in un circuito di processi, controlli e verifiche che coinvolge più funzioni, dal reparto IT al legale, dalla compliance al risk management.
Un capitolo delicato riguarda la gestione degli incidenti significativi. La NIS2 introduce obblighi di notifica alle autorità competenti, con tempi definiti e passaggi da rispettare. Nel quadro nazionale, la Legge n. 90/2024 ha fissato, per le pubbliche amministrazioni, l’obbligo di segnalare incidenti o minacce cyber entro 24 ore, seguendo le indicazioni dell’Agenzia per la cybersicurezza nazionale. La tempestività diventa quindi parte integrante del rispetto della norma.
La ragione è intuitiva: una comunicazione tardiva può aggravare i danni, prolungare l’interruzione dei servizi e rendere più difficile il coordinamento con le autorità e con gli altri soggetti coinvolti. Di conseguenza, la capacità di riconoscere rapidamente un evento, valutarne la gravità e avviare il flusso interno di escalation entra a far parte dei requisiti sostanziali di conformità.
Supply chain e fornitori: il punto che molte aziende sottovalutano
L’attenzione alla supply chain è uno degli elementi che caratterizzano la NIS2. Le strategie nazionali di cybersicurezza devono prendere in considerazione la sicurezza della catena di fornitura, e l’intera direttiva mette in relazione la resilienza di un’organizzazione con l’affidabilità dei soggetti esterni con cui collabora.
Questo riguarda da vicino le imprese del mondo IT, ma coinvolge ormai qualsiasi realtà che si appoggi a servizi digitali. Oggi è raro che un’azienda gestisca l’intera infrastruttura tecnologica al proprio interno: cloud, piattaforme SaaS, software gestionali, soluzioni di sicurezza, consulenze, strumenti di collaborazione compongono una filiera articolata. Una vulnerabilità in uno di questi anelli può propagarsi lungo tutta la catena.
L’adeguamento, in molti casi, passerà quindi da una revisione dei rapporti con i fornitori. Criteri di sicurezza più chiari nei contratti, verifiche periodiche, richieste di informazione sui presìdi adottati, piani di intervento condivisi quando emergono criticità. Non basta aggiornare il regolamento interno: occorre ripensare i processi di selezione, monitoraggio e gestione dei partner tecnologici.
Legge italiana 90/2024 e rafforzamento della cybersicurezza nazionale
Nel contesto italiano, la Legge 28 giugno 2024, n. 90 rappresenta un tassello importante nel rafforzamento del quadro nazionale sulla cybersicurezza. Il titolo del provvedimento richiama esplicitamente il rafforzamento della cybersicurezza nazionale e dei presìdi contro i reati informatici, segno della volontà di consolidare strumenti e competenze su base stabile.
La legge è stata pubblicata in Gazzetta Ufficiale il 2 luglio 2024 ed è entrata in vigore il 17 luglio dello stesso anno. Oltre a definire l’assetto del sistema nazionale, interviene su aspetti organizzativi, sulle modalità di segnalazione e su misure di contrasto agli illeciti informatici, in coerenza con gli obiettivi europei di resilienza e capacità di risposta.
Per le pubbliche amministrazioni, alcuni obblighi sono particolarmente immediati: notifica di incidenti o minacce cyber entro 24 ore e istituzione di una struttura dedicata alla cybersicurezza con un referente identificato. Il legislatore indica in modo diretto la direzione da seguire: superare gestioni frammentarie e costruire presìdi stabili, con responsabilità chiare.
ISO 27001 come riferimento per l’adeguamento
Molte imprese, soprattutto quelle di dimensioni medio‑grandi, guardano a standard riconosciuti per organizzare il proprio percorso di adeguamento. In questo contesto, ISO/IEC 27001 offre un modello utile per impostare un sistema di gestione della sicurezza delle informazioni basato su analisi del rischio, procedure, ruoli e logica di miglioramento continuo.
La certificazione, da sola, non equivale all’adempimento di tutti gli obblighi previsti dalla NIS2. Può però fornire una struttura di riferimento: criteri per valutare i rischi, modalità per formalizzare i controlli, documentazione delle attività svolte. Per molte organizzazioni, l’adozione di un framework di questo tipo rappresenta un supporto concreto alla costruzione di un sistema di conformità sostanziale.
Un equivoco ricorrente è associare la NIS2 solo agli operatori infrastrutturali o ai grandi gruppi tecnologici. La direttiva nasce invece dall’idea che la maggior parte delle attività economiche dipenda, in misura crescente, da reti, software, servizi cloud e fornitori esterni. La distinzione tra “aziende cyber” e “aziende tradizionali” diventa meno netta.
Anche le realtà che non operano nel settore della sicurezza informatica possono essere coinvolte da obblighi di protezione, valutazione del rischio, continuità operativa e gestione degli incidenti. In questa prospettiva, la NIS2 si trasforma in un nuovo parametro di affidabilità organizzativa nel mercato europeo: un elemento che clienti, partner e autorità considereranno sempre di più nella valutazione complessiva di un’impresa.