La Direttiva NIS2 è recepita, operativa e — soprattutto — è diventata un argomento commerciale: i clienti la chiedono nei contratti, i partner la verificano, i bandi la richiedono. Ecco cosa significa davvero, oggi, per un'azienda italiana: chi è dentro il perimetro, cosa controllano, quali sanzioni esistono e da dove iniziare senza perdere mesi.

Chi rientra nel perimetro NIS2: la verifica che serve davvero

La NIS2 distingue tra soggetti essenziali e soggetti importanti, con criteri di settore e dimensione. Energia, trasporti, banche, sanità, acqua sono i classici; ma la lista si allarga a manifatturiero critico, ICT, gestione dei rifiuti, alimentare, servizi digitali e posta. La verifica concreta si fa in due passi: settore di attività e dimensione (dipendenti e fatturato).

L'errore più costoso è fermarsi qui. L'effetto a cascata trascina nel perimetro pratico anche chi non vi rientra formalmente: un fornitore critico di un soggetto essenziale riceverà richieste contrattuali di conformità che, nella pratica, sono obblighi con un altro nome.

Cosa controllano: le 10 misure minime in parole semplici

La direttiva elenca le misure che l'azienda deve adottare e dimostrare. In sintesi operativa:

  • Analisi dei rischi e politiche di sicurezza dei sistemi informatici, aggiornate e non archiviate.
  • Gestione degli incidenti: chi fa cosa quando qualcosa succede, con procedure scritte e testate.
  • Continuità operativa e disaster recovery: backup verificati, piani di ripartenza misurati in ore, non in speranze.
  • Sicurezza della supply chain: i fornitori ICT valutati e contrattualizzati.
  • Sicurezza nell'acquisto, sviluppo e manutenzione dei sistemi, incluso l'aggiornamento costante.
  • Valutazione dell'efficacia: le misure si misurano, con audit e indicatori.
  • Igiene informatica e formazione del personale, di tutto il personale.
  • Crittografia e MFA secondo policy definite.
  • Sicurezza delle risorse umane e controllo degli accessi: chi entra, dove, fino a quando.
  • Comunicazioni sicure per le attività critiche.

Le notifiche: 24 e 72 ore, senza sconti

Un incidente significativo va segnalato al CSIRT nazionale con una prima notifica entro 24 ore dalla scoperta e una notifica formale entro 72 ore, seguite da un report finale. Le finestre sono tali che la procedura deve esistere prima dell'incidente: chi deve decidere, chi compila, su quale canale, con quali informazioni. Sono gli stessi flussi che un piano di risposta agli incidenti ben fatto contiene già.

Sanzioni: e la responsabilità è personale

Le sanzioni arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali (7 milioni o 1,4% per gli importanti). Ma la novità che i CdA hanno iniziato a prendere sul serio è un'altra: la responsabilità diretta del management. Gli amministratori devono approvare le misure di gestione del rischio, sorvegliarne l'attuazione e rispondono personalmente delle lacune, fino a esclusioni temporanee dagli incarichi.

Da dove iniziare: un percorso in tre mosse

  1. Verifica del perimetro e gap analysis: sei soggetto? Dove sei rispetto alle 10 misure? Un assessment strutturato dà una fotografia in poche settimane.
  2. Piano di remediation con priorità: prima le misure che riducono il rischio più grande, poi quelle documentali. Budget e tempi dichiarati all'inizio.
  3. Mantenimento: la NIS2 non è un progettino che finisce — analisi dei rischi aggiornate, audit periodici e formazione continuativa diventano routine.

Conclusione: la domanda dei clienti arriva prima dell'audit

Oggi la NIS2 non si percepisce prima come ispezione e poi come normativa: la si percepisce come requisito commerciale. I clienti essenziali chiedono dimostrazioni di conformità ai fornitori, e chi non ha risposte perde contratti senza alcuna multa. Adeguarsi ora è vantaggio competitivo, non solo adempimento.

Se vuoi sapere se la tua azienda rientra nel perimetro e con quali lacune, il nostro assessment NIS2 ti dà la fotografia e il piano. Contattaci: trasformiamo un obbligo in un vantaggio.