La Direttiva (UE) 2022/2555, nota come NIS2, ha ampliato in modo significativo il numero di organizzazioni con obblighi di cybersecurity. In Italia è stata recepita con il D.Lgs. 138/2024, in Bulgaria con la Legge sulla cybersecurity. Molte aziende che non avevano mai pensato alla regolamentazione oggi rientrano nell’ambito — spesso senza saperlo.
Ecco come fare una prima verifica in pochi minuti.
Passo 1: In quale settore operate?
La direttiva elenca 18 settori in due allegati.
Allegato I — settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT (B2B), pubblica amministrazione e spazio.
Allegato II — altri settori critici: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti (produzione, trasformazione e distribuzione), fabbricazione (dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto), fornitori digitali (marketplace online, motori di ricerca, social network) e ricerca.
Se la vostra attività non rientra in nessuno di questi settori, di norma la NIS2 non si applica direttamente — ma leggete il passo 5.
Passo 2: Quanto è grande la vostra azienda?
La NIS2 si applica soprattutto alle medie e grandi imprese:
- medie — 50 o più dipendenti, oppure fatturato (bilancio) annuo superiore a 10 milioni di euro;
- grandi — 250 o più dipendenti, oppure fatturato annuo superiore a 50 milioni di euro.
Le piccole e microimprese sono generalmente escluse.
Passo 3: C’è un’eccezione in cui la dimensione non conta?
Alcune categorie rientrano a prescindere dalla dimensione — ad esempio i fornitori di reti e servizi pubblici di comunicazione elettronica, i prestatori di servizi fiduciari, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS. Uno Stato membro può inoltre designare un’organizzazione che è l’unico fornitore di un servizio essenziale o la cui interruzione avrebbe un impatto significativo.
Passo 4: Soggetto essenziale o importante?
| Tipo di soggetto | Chi | Sanzione massima |
|---|---|---|
| Essenziale | Soprattutto grandi imprese dell’Allegato I | fino a 10 M€ o il 2% del fatturato mondiale |
| Importante | Medie imprese dell’Allegato I, medie e grandi dell’Allegato II | fino a 7 M€ o l’1,4% del fatturato mondiale |
La differenza principale riguarda la vigilanza: i soggetti essenziali sono soggetti a controlli proattivi, quelli importanti a vigilanza ex post dopo una segnalazione o un incidente. Le misure da applicare sono le stesse.
Passo 5: Cosa succede se rientrate?
L’articolo 21 della direttiva richiede misure di gestione dei rischi per la cybersicurezza, tra cui:
- analisi dei rischi e politiche di sicurezza dei sistemi informativi;
- gestione degli incidenti;
- continuità operativa — backup, disaster recovery, gestione delle crisi;
- sicurezza della catena di approvvigionamento;
- sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi;
- valutazione dell’efficacia delle misure;
- igiene informatica di base e formazione;
- crittografia e cifratura;
- sicurezza delle risorse umane, controllo degli accessi e gestione degli asset;
- autenticazione a più fattori e comunicazioni protette.
Gli incidenti significativi vanno inoltre notificati entro termini stringenti: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. La direzione approva le misure, risponde della loro attuazione e deve seguire una formazione.
Anche se non rientrate nella NIS2, se fornite un’azienda che vi rientra, questa trasferirà i requisiti lungo la catena di fornitura — questionari, clausole contrattuali, audit. In pratica la NIS2 riguarda molte più aziende di quelle elencate dalla legge.
La via più rapida verso la conformità
Se avete già o state implementando la ISO/IEC 27001, avete coperto gran parte delle misure dell’articolo 21. Restano i requisiti specifici della NIS2 — la procedura di notifica, la responsabilità e la formazione della direzione e la registrazione.
Non siete sicuri di rientrare? La verifica richiede un solo colloquio — ed è gratuita.