Conformità NIS2 e cybersecurity
Verifichiamo se la vostra azienda rientra nella NIS2, quali obblighi ha, e li adempiamo insieme — gestione dei rischi, notifica degli incidenti e responsabilità della direzione.
NIS2 e cybersecurity
La Direttiva (UE) 2022/2555 (NIS2) amplia in modo significativo il numero di organizzazioni con obblighi di cybersecurity. In Bulgaria i requisiti sono recepiti dalla Legge sulla cybersecurity; in Italia dal D.Lgs. 138/2024. L'ambito copre soprattutto medie e grandi imprese di 18 settori — da energia, trasporti e sanità a manifattura, alimentare, servizi postali e fornitori digitali.
La direttiva distingue soggetti essenziali e importanti. Devono applicare misure di gestione dei rischi informatici, notificare gli incidenti significativi entro termini stringenti, e gli organi di amministrazione rispondono della supervisione e devono seguire una formazione.
La vostra azienda rientra nella NIS2?
Due domande danno una risposta indicativa. Decidono settore e dimensione — e in alcuni casi solo il settore.
Rientrate come soggetto importante
Stesse misure e stesse scadenze di notifica. La vigilanza è ex post — dopo una segnalazione o un incidente.
- Vigilanza
- Ex post — su segnalazione
- Sanzione massima
- €7 mln o 1,4% del fatturato
Settori altamente critici
- Energia
- Trasporti
- Settore bancario
- Infrastrutture dei mercati finanziari
- Sanità
- Acqua potabile
- Acque reflue
- Infrastrutture digitali
- Gestione dei servizi ICT
- Spazio
Altri settori critici
- Servizi postali e di corriere
- Gestione dei rifiuti
- Sostanze chimiche
- Produzione e distribuzione alimentare
- Manifattura (dispositivi medici, elettronica, macchinari, veicoli)
- Fornitori digitali
- Ricerca
Tre obblighi e dieci misure
La legge non impone prodotti ma rischi gestiti: misure adeguate, notifiche rapide e un vertice che ne risponde.
Gestione del rischio
Dieci misure minime — tecniche, operative e organizzative, proporzionate al rischio.
Notifica degli incidenti
Gli incidenti significativi si notificano al CSIRT: 24 ore, 72 ore, 1 mese.
Responsabilità del vertice
Il vertice approva le misure, ne sorveglia l’attuazione e si forma ogni 2 anni.
-
(a)Politiche di rischio Analisi dei rischi e politiche di sicurezza dei sistemi informativi. -
(b)Incidenti Rilevamento, risposta e notifica secondo una procedura chiara. -
(c)Continuità Backup, disaster recovery e gestione delle crisi. -
(d)Catena di fornitura Sicurezza nei rapporti con fornitori e subappaltatori. -
(e)Sviluppo sicuro Acquisizione, sviluppo e manutenzione, inclusa la gestione delle vulnerabilità. -
(f)Efficacia Valutare se le misure funzionano davvero. -
(g)Igiene informatica Pratiche di base e formazione del personale. -
(h)Crittografia Politiche di cifratura e protezione dei dati. -
(i)Persone e accessi Sicurezza del personale, controllo accessi e gestione degli asset. -
(j)MFA e comunicazioni Autenticazione a più fattori e canali protetti, anche in emergenza.
Venerdì, 02:14 — il conto alla rovescia inizia
Come appare un incidente significativo quando il sistema NIS2 è pronto. Lo scenario è tipico — le scadenze sono di legge.
Un ransomware cifra il file server e l’ERP durante il turno di notte.
- T+0 Rilevamento Nei termini L’EDR lancia l’allarme. Il reperibile isola la rete e attiva la procedura di incidente.
- 24 h Preallarme Nei termini Al CSIRT: incidente significativo, probabilmente doloso, senza impatto transfrontaliero.
- 72 h Notifica Nei termini Valutazione iniziale di gravità e impatto, indicatori di compromissione.
- 1 mese Relazione finale Nei termini Causa principale, misure adottate e lezioni apprese — ciclo chiuso.
Nessuno sa chi notifica cosa. Le 24 ore scadono nel panico e il vertice risponde personalmente.
Ognuno conosce il proprio ruolo, i modelli sono pronti, i backup funzionano. L’incidente è spiacevole — ma gestibile.
Più della conformità
Serenità davanti all’autorità
Misure documentate ed evidenze pronte per l’ispezione.
Meno fermi
Un incidente si contiene in ore, non in settimane.
Vantaggio nelle gare
I clienti soggetti alla NIS2 scelgono fornitori con sicurezza dimostrata.
Vertice tutelato
Decisioni e verbali chiari dimostrano che il vertice ha adempiuto ai suoi doveri.
Team preparato
Le persone riconoscono il phishing e sanno cosa fare in caso di incidente.
Verso la ISO 27001
Lo stesso lavoro è il 70–80% di un sistema certificabile.
Implementazione in sei passi
Un progetto tipico per un’azienda media richiede 3–6 mesi. Lavoriamo in parallelo alla vostra operatività.
- 01 1 sett. Verifica dell’ambito Essenziale, importante o fuori ambito — con motivazioni.
- 02 2–3 sett. Gap analysis La vostra posizione rispetto alle dieci misure dell’art. 21.
- 03 1 sett. Piano delle misure Priorità, responsabili, scadenze e budget.
- 04 2–4 mesi Implementazione Politiche, procedure e misure tecniche — MFA, backup, accessi.
- 05 2 sett. Formazione e test Formazione del vertice ed esercitazione su un incidente.
- 06 continuo Mantenimento Riesame periodico, audit interno e aggiornamento.
Un pacchetto pronto per l’ispezione
Tutto ciò che l’autorità di vigilanza può chiedere — ordinato e comprensibile.
Verifica gratuita dell’ambito- Parere su ambito e categoria del soggetto
- Valutazione dei rischi e piano di trattamento
- Politica di cibersicurezza approvata dal vertice
- Procedura e modelli per la notifica al CSIRT
- Piano di continuità e ripristino
- Requisiti e valutazione dei fornitori
- Attestato di formazione del vertice
- Verbale dell’esercitazione su incidente
Le norme che coprono la NIS2
La NIS2 non richiede un certificato — ma le norme internazionali sono la via più breve verso una conformità dimostrabile.
01 Come capisco se la NIS2 ci riguarda?
I criteri chiave sono settore e dimensione — di regola medie (50+ dipendenti o fatturato annuo oltre 10 M€) e grandi imprese. Esistono eccezioni in cui la dimensione non conta. La verifica richiede un solo colloquio.
02 La ISO 27001 basta per la NIS2?
La ISO 27001 copre gran parte delle misure ed è il quadro migliore, ma la NIS2 ha anche requisiti specifici — termini di notifica e responsabilità della direzione. Li copriamo entrambi.
03 Quali sono le sanzioni?
Per i soggetti essenziali fino a 10 M€ o il 2% del fatturato mondiale annuo; per quelli importanti fino a 7 M€ o l'1,4%. Si applica anche la responsabilità della direzione.
Questa domanda non è nell’elenco — chiedeteci direttamente e risponderemo.
La prima consulenza è gratuita
Raccontateci della vostra azienda e del vostro obiettivo. Riceverete un piano chiaro e un preventivo entro un giorno lavorativo.