Guida alla conformità NIS2 per le PMI

NIS2 è l'aggiornamento europeo della direttiva sulla cybersecurity che ha sostituito la NIS originale del 2016. Gli stati membri dovevano recepirla nella legislazione nazionale a partire da ottobre 2024, e amplia enormemente l'universo di aziende obbligate a gestire attivamente il rischio informatico — non più solo settori classicamente critici come energia, trasporti o banche.

Per una PMI che opera nell'Unione Europea, o che vende a un'azienda europea — inclusa l'Italia, dove DITAP ha una presenza diretta —, NIS2 non è più un tema esclusivo delle infrastrutture critiche, ma un tema di catena di fornitura: se il tuo cliente è un soggetto essenziale o importante, è molto probabile che ti chieda prove di gestione del rischio, anche se la tua azienda non è direttamente coinvolta dalla legge.

NIS2 classifica le organizzazioni in due livelli: soggetti essenziali (energia, trasporti, banche, sanità, acqua, infrastrutture digitali, pubblica amministrazione, spazio) e soggetti importanti (servizi postali, gestione rifiuti, chimica, alimentare, manifattura, fornitori digitali, ricerca). Entrambe le categorie condividono gli stessi obblighi di fondo; la differenza sta nell'intensità della vigilanza e nel tetto delle sanzioni.

Il criterio dimensionale è il filtro abituale: in generale sono coinvolte le medie e grandi imprese — 50 dipendenti o più, oppure fatturato e bilancio superiori alle soglie fissate da ciascun paese in fase di recepimento. Ma c'è un'eccezione importante: diversi settori, come le infrastrutture digitali, i fornitori di servizi fiduciari o la pubblica amministrazione, non hanno una soglia dimensionale minima — restano coinvolti indipendentemente dal numero di dipendenti.

• Vendi servizi tecnologici, di connettività o di infrastruttura a un soggetto essenziale o importante.
• Operi nell'hospitality, sanità, logistica o manifattura con presenza nell'Unione Europea.
• Un cliente o partner ti ha già chiesto per contratto prove di gestione del rischio informatico o un questionario di sicurezza.
• Fai parte della catena di fornitura di un'azienda direttamente coinvolta.

Se ti sei riconosciuto in uno di questi punti, anche senza essere formalmente obbligato, conviene trattare NIS2 come lo standard di riferimento: è ciò che i tuoi clienti e le assicurazioni inizieranno a richiedere nei prossimi 24 mesi, che la legge si applichi formalmente al tuo caso o meno.

Oltre all'elenco di misure tecniche, NIS2 richiede tre cose molto concrete che cambiano il modo di operare quotidiano di un'azienda:

• Gestione del rischio continua: non un audit occasionale, ma un processo vivo di identificazione, valutazione e trattamento del rischio informatico, rivisto e aggiornato regolarmente.
• Segnalazione degli incidenti con scadenze strette: allerta preventiva all'autorità competente entro 24 ore dalla rilevazione di un incidente significativo, notifica formale entro 72 ore e rapporto finale entro un mese.
• Due diligence sulla catena di fornitura: valutare il rischio informatico dei propri fornitori tecnologici, il che significa che se il tuo cliente è coinvolto, probabilmente audita anche te.

Il termine di 24 ore è quello che sorprende di più le PMI: non c'è tempo per mettere insieme un comitato quando l'incidente è già accaduto. Serve un processo di rilevazione ed escalation definito in anticipo — con responsabili, numeri di telefono e un canale di contatto già testato — non un piano improvvisato sul momento.

Una delle novità più pungenti di NIS2 è che la responsabilità ultima per la gestione del rischio informatico ricade sull'organo di direzione dell'azienda, non solo sul reparto IT. Questo implica l'approvazione formale della strategia di gestione del rischio, la supervisione della sua attuazione e, in alcuni regimi nazionali, responsabilità personale per inadempimenti gravi.

In pratica, questo trasforma la cybersecurity in un tema all'ordine del giorno della direzione, con almeno una revisione periodica documentata, e non in una cartella che il reparto tecnico apre una volta l'anno prima di un audit.

• Nominare un responsabile — interno o esterno — che riporti direttamente alla direzione.
• Formazione specifica sulla gestione del rischio informatico per i membri dell'organo di direzione: la direttiva la menziona esplicitamente.
• Documentare ogni decisione rilevante sul rischio: cosa è stato accettato, cosa è stato mitigato e perché.

L'Articolo 21 della direttiva dettaglia dieci ambiti di misure minime di gestione del rischio. Non è un elenco di prodotti da acquistare: è un quadro di gestione che ogni azienda adatta alla propria dimensione e alla propria esposizione reale.

• Politica di analisi del rischio e sicurezza dei sistemi informativi.
• Gestione degli incidenti: rilevazione, risposta e comunicazione.
• Continuità operativa: gestione dei backup, disaster recovery e gestione delle crisi.
• Sicurezza della catena di fornitura, incluso il rapporto con ogni fornitore diretto.
• Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, inclusa la gestione delle vulnerabilità.
• Politiche per valutare l'efficacia delle misure di gestione del rischio.
• Pratiche base di igiene informatica e formazione sulla sicurezza per tutto il personale.
• Politiche sull'uso della crittografia e, quando pertinente, della cifratura.
• Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset.
• Autenticazione a più fattori o continua, comunicazioni vocali, video e testuali sicure, e sistemi di comunicazione di emergenza sicuri all'interno dell'organizzazione quando necessario.

Nessuno di questi dieci ambiti è esotico: sono, in sostanza, buone pratiche di infrastruttura e sicurezza gestita che già raccomandiamo a qualsiasi PMI, che sia formalmente coinvolta da NIS2 o meno. La differenza è che ora esiste l'obbligo di documentarle e poterle dimostrare.

Le sanzioni economiche per la non conformità sono serie e scalano in base alla dimensione dell'azienda. Per i soggetti essenziali, le multe amministrative possono arrivare fino a 10 milioni di euro o il 2% del fatturato globale annuo, a seconda di quale sia maggiore. Per i soggetti importanti, il tetto è di 7 milioni di euro o l'1,4% del fatturato globale.

Ma il costo reale quasi mai è la multa. È perdere il contratto con il cliente che ha chiesto prove di conformità che non avevi, restare fuori da una gara pubblica, o il costo reputazionale di segnalare in ritardo un incidente già trapelato alla stampa prima ancora di arrivare all'autorità competente.

Non serve risolvere i dieci ambiti dell'Articolo 21 in un weekend. Un piano realistico di 90 giorni dà priorità a ciò che riduce di più il rischio, non a ciò che appare meglio in una presentazione.

• Settimane 1-2: mappare quali dati, sistemi e fornitori sono critici. Senza questo inventario, ogni misura successiva viene presa alla cieca.
• Settimane 3-4: definire il processo di segnalazione degli incidenti — chi decide, chi viene avvisato, entro quale scadenza — e testarlo con una simulazione semplice.
• Settimane 5-8: chiudere le lacune tecniche più urgenti: MFA su tutti gli accessi critici, backup 3-2-1 verificati (non solo configurati) e segmentazione di rete di base.
• Settimane 9-12: documentare la politica di gestione del rischio, formare il team di direzione e preparare il primo rapporto di stato da presentare al vertice aziendale.

In DITAP non vendiamo certificazioni che non abbiamo. La nostra posizione rispetto a NIS2 e ISO 27001 è di allineamento progressivo: progettiamo infrastruttura e processi di sicurezza gestita — firewall gestito, monitoraggio 24/7, backup 3-2-1, segmentazione di rete, MFA — che coprono buona parte dei dieci ambiti tecnici dell'Articolo 21, documentati affinché la tua azienda possa mostrare prove reali a un cliente o a un auditor.

Se stai valutando quanto è esposta la tua operatività, il primo passo è un audit tecnico che confronta la tua infrastruttura attuale con l'Articolo 21, con risultati concreti e prioritizzati — senza fumo né checklist generiche.