Pubblicato il · Allware SRL S.U.
La NIS2 è la direttiva europea che alza il livello minimo di sicurezza informatica di aziende ed enti considerati importanti per l'economia. In Italia è stata recepita con il Decreto Legislativo 138/2024 e l'autorità di riferimento è l'ACN, l'Agenzia per la Cybersicurezza Nazionale.
Quali aziende sono coinvolte
La NIS2 riguarda le organizzazioni che operano nei settori indicati dalla norma (ad esempio energia, trasporti, sanità, acqua, infrastrutture digitali, manifattura di alcuni prodotti, gestione dei rifiuti, alimentare, servizi postali) e che superano le soglie delle medie imprese: in generale almeno 50 dipendenti oppure più di 10 milioni di euro di fatturato. Le aziende si dividono in soggetti essenziali e soggetti importanti, con obblighi e controlli diversi.
Secondo i dati diffusi, l'elenco nazionale comprende oltre 20.000 organizzazioni.
E le piccole imprese?
Le piccole e micro imprese di solito non sono soggette direttamente. Però le aziende che rientrano nella NIS2 devono gestire anche il rischio dei propri fornitori: per questo molte chiedono ai fornitori, anche piccoli, garanzie di sicurezza, clausole contrattuali e la prova di misure minime come backup, autenticazione a due fattori e aggiornamenti. Essere preparati diventa un vantaggio commerciale.
Le scadenze principali
- Ogni anno, dal 1° gennaio al 28 febbraio: registrazione o aggiornamento dei dati sulla piattaforma dell'ACN.
- Da gennaio 2026: è operativo l'obbligo di notificare gli incidenti significativi al CSIRT Italia.
- Entro il 31 ottobre 2026: i soggetti già in elenco dovevano adottare le misure di sicurezza di base, con evidenze documentali. Da questo momento l'ACN può avviare le verifiche.
Come si notifica un incidente
In caso di incidente significativo sono previste tre tappe: una pre-notifica entro 24 ore da quando se ne viene a conoscenza, una notifica entro 72 ore con una prima valutazione e una relazione finale entro un mese. Serve quindi una procedura chiara: chi si accorge del problema, chi decide, chi comunica.
Le misure di sicurezza da avere
Le misure di base seguono cinque fasi: identificare (sapere quali sistemi e dati ci sono), proteggere (firewall, protezione dei PC, autenticazione a due fattori, aggiornamenti), rilevare gli attacchi, rispondere agli incidenti e ripristinare l'operatività con backup e disaster recovery testati. Anche la formazione del personale e la responsabilità dei vertici aziendali sono parte degli obblighi.
Le sanzioni
Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale; per i soggetti importanti fino a 7 milioni di euro o all'1,4%. Gli amministratori sono responsabili della supervisione delle misure.
Da dove cominciare
Che la tua azienda rientri direttamente nella NIS2 o sia fornitrice di un'azienda che vi rientra, i primi passi sono gli stessi: fare l'inventario di sistemi e dati, verificare i backup, attivare l'autenticazione a due fattori, aggiornare i sistemi non più supportati e scrivere una procedura per gli incidenti.
Come può aiutarti Allware
Ci occupiamo della parte tecnica: analisi dell'infrastruttura, sicurezza informatica, backup, aggiornamenti e documentazione delle misure adottate. Per gli aspetti legali lavoriamo a fianco del tuo consulente.
Fonti: Agenzia per la Cybersicurezza Nazionale (acn.gov.it); D.Lgs. 4 settembre 2024, n. 138.
Domande frequenti
La NIS2 riguarda anche le piccole imprese?
In genere no in modo diretto: la soglia è quella delle medie imprese (50 dipendenti o 10 milioni di fatturato) nei settori indicati. Le piccole imprese possono però essere coinvolte come fornitori di aziende soggette, che chiedono garanzie di sicurezza.
Entro quando si notifica un incidente informatico?
Pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, verso il CSIRT Italia.
Quando si registra un'azienda sulla piattaforma ACN?
La finestra di registrazione e aggiornamento è ogni anno dal 1° gennaio al 28 febbraio.