NIS2: cosa deve fare davvero una PMI italiana

La vostra azienda è un soggetto NIS2? Come si verifica

La verifica è a due condizioni, e servono entrambe. Prima condizione: l'attività rientra in uno dei settori elencati negli allegati della norma, divisi fra settori ad alta criticità e altri settori critici. Seconda condizione: l'azienda supera le soglie dimensionali previste, che nel linguaggio della norma corrispondono almeno alla media impresa.

Se una delle due manca, in linea generale l'azienda non è un soggetto NIS2. Restano alcuni casi in cui la qualifica prescinde dalla dimensione, previsti espressamente dalla norma. La verifica formale non si fa leggendo un articolo: si fa sugli allegati del decreto e sulle determinazioni dell'Agenzia per la Cybersicurezza Nazionale, che è l'autorità competente in Italia e pubblica le indicazioni operative, compresa la finestra annuale di registrazione dei soggetti sulla propria piattaforma.

Cosa dice la norma, in tre righe

La NIS2 è la Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, che sostituisce la precedente direttiva NIS e amplia sia i settori coinvolti sia gli obblighi. In Italia è stata recepita con il decreto legislativo 4 settembre 2024, n. 138.

Chiede tre cose, in sostanza: misure di gestione del rischio proporzionate, notifica degli incidenti significativi all'autorità entro tempi stretti, e responsabilità esplicita degli organi di amministrazione, che devono approvare le misure e ricevere formazione. È l'ultimo punto quello che cambia davvero le riunioni: la sicurezza smette di essere una delega al reparto informatico.

Il caso più frequente: non siete soggetti, ma siete fornitori di un soggetto

È la situazione in cui si trova la maggior parte delle piccole e medie imprese italiane, e produce lo stesso lavoro senza che nessuno l'abbia annunciato.

La norma chiede ai soggetti NIS2 di gestire il rischio della propria catena di fornitura. La conseguenza pratica è che quei soggetti lo girano ai fornitori, nel modo in cui le aziende girano sempre le cose: con un questionario, una clausola contrattuale, una richiesta di certificazione, a volte un audit.

Se avete ricevuto negli ultimi mesi un questionario di sicurezza da un cliente grande, non era zelo del suo ufficio acquisti. Era la NIS2 che arrivava per via contrattuale. Chi non risponde non riceve una sanzione: perde la fornitura, che è una conseguenza più immediata.

Cosa chiede concretamente la NIS2 a chi rientra

Le misure previste dalla norma sono descritte per categorie, non come una lista di prodotti da comprare. Tradotte in cose che si fanno, sono queste.

• Analisi dei rischi e politica di sicurezza approvata dai vertici.
• Gestione degli incidenti, con procedure scritte e responsabilità assegnate per nome.
• Continuità operativa, compresi backup e ripristino, con prove documentate.
• Sicurezza della catena di fornitura, cioè valutazione dei propri fornitori.
• Sicurezza nello sviluppo e nella manutenzione dei sistemi, gestione delle vulnerabilità e delle patch.
• Igiene informatica di base e formazione, per tutti, non solo per il reparto tecnico.
• Crittografia, con politiche dichiarate sull'uso.
• Controllo degli accessi, autenticazione a più fattori e gestione degli utenti privilegiati.

Sugli incidenti significativi la norma prevede una segnalazione iniziale molto rapida, nell'ordine delle prime ore, seguita da una notifica più completa e da una relazione finale. I termini esatti e i canali sono quelli indicati dall'ACN, ed è lì che vanno verificati prima di scrivere una procedura interna.

Cosa fare adesso, in ordine di costo

Le prime tre voci costano tempo e non denaro, e sono anche quelle che rispondono alla maggior parte dei questionari dei clienti.

1. Verificare la propria posizione. Settore e soglia dimensionale, con una risposta scritta e datata. Vale sia se la risposta è sì sia se è no.
2. Fare l'inventario. Quali sistemi, quali dati, quali fornitori, chi ha accesso a cosa. Senza questo elenco nessuna delle misure successive è verificabile.
3. Attivare l'autenticazione a più fattori ovunque sia possibile, a partire da posta elettronica, accessi amministrativi e accessi da remoto. È la singola misura con il rapporto migliore fra costo e rischio evitato.
4. Provare un ripristino. Non controllare che i backup esistano: provare a riportare in funzione un sistema partendo da un backup, e cronometrare.
5. Scrivere la procedura di incidente. Chi si chiama, in che ordine, chi parla con l'esterno, dove si annota cosa è successo.
6. Guardare i fornitori. Chi ha accesso ai vostri sistemi, con quali credenziali, e cosa succede quando il rapporto finisce.
7. Formare le persone. Compresi gli amministratori, che secondo la norma non sono spettatori.

Domande frequenti

• La NIS2 si applica alla mia azienda se ho meno di cinquanta dipendenti? In linea generale no, perché la norma parte dalla media impresa, ma esistono casi previsti espressamente in cui la qualifica non dipende dalla dimensione. La verifica va fatta sugli allegati del D.Lgs. 138/2024 e sulle indicazioni dell'ACN.
• Cosa rischia chi è soggetto e non si adegua? Il decreto prevede sanzioni amministrative e misure che possono arrivare a incidere sugli organi di amministrazione. L'entità e i presupposti sono scritti nel decreto, ed è lì che vanno letti: nessun fornitore di sicurezza è la fonte giusta per quel numero.
• Serve una certificazione ISO 27001 per essere conformi? No, la norma non impone una certificazione. Un sistema di gestione certificato aiuta a dimostrare quello che si fa, e in molte gare è richiesto dal cliente, ma è una scelta commerciale prima che normativa.
• Come rispondo al questionario di sicurezza di un cliente grande? Con l'inventario, la procedura di incidente, la prova di ripristino e le politiche di accesso. Sono le quattro cose che compaiono in quasi tutti i questionari, e prepararle una volta serve per tutti i clienti successivi.
• Dove trovo la fonte ufficiale? La Direttiva (UE) 2022/2555 su EUR-Lex, il decreto legislativo 138/2024 in Gazzetta Ufficiale, e il sito dell'Agenzia per la Cybersicurezza Nazionale per registrazione, termini di notifica e indicazioni operative.

La posizione di Drimz AI

Drimz AI è una creative tech company italiana con sede a Genova e si occupa di sicurezza per aziende che non hanno un reparto interno. Su NIS2 la nostra posizione è che le prime cinque voci dell'elenco qui sopra vanno fatte comunque, soggetti o no: sono quelle che riducono davvero il rischio di fermarsi per una settimana. La conformità formale viene dopo la verifica, non prima, e chi ve la vende prima vi sta vendendo la paura.

Partiamo dall'inventario→