NIS2

La Direttiva NIS2 (UE 2022/2555) è entrata nell’ordinamento italiano con il D.Lgs. 138/2024. Non è una raccomandazione e non è un progetto informatico: è un obbligo di legge, con misure di sicurezza fissate dall’Agenzia per la Cybersicurezza Nazionale, un termine di attuazione già scritto e sanzioni che arrivano a dieci milioni di euro. Se la vostra organizzazione è stata inserita nell’elenco dei soggetti NIS, il conto alla rovescia è partito da tempo.

Emmess vi affianca su tutto il percorso: verifica del perimetro, gap analysis sulle misure ACN, piano di adeguamento, procedura di notifica degli incidenti, formazione degli organi di amministrazione e del personale. Lo facciamo con lo stesso metodo con cui costruiamo i sistemi di gestione certificati, perché la NIS2 chiede prima di tutto organizzazione: ruoli, procedure, evidenze. È un metodo che i clienti confermano: nel 2025 il 98,97% dei contratti è stato rinnovato. Se invece quello che vi serve riguarda l’intelligenza artificiale e non la cybersicurezza, la pagina giusta è quella sull’AI Act.

Che cosa facciamo, in concreto

Il percorso è sempre lo stesso: capire che cosa vi riguarda davvero, mettere in ordine quello che manca, lasciarvi le prove. Questo è quello che portiamo.

• Analisi di applicabilità e perimetro. Stabiliamo se rientrate come soggetto essenziale o importante, quali attività e quali società del gruppo sono dentro il perimetro, e che cosa vi viene chiesto in quanto fornitori di un soggetto NIS. La prima analisi non ha costo e non vi impegna a nulla.
• Gap analysis sulle misure ACN. Confrontiamo lo stato reale della vostra sicurezza con i 116 (o 87) requisiti, requisito per requisito. Il risultato è un documento leggibile anche da chi non è tecnico: che cosa manca, quanto pesa, in che ordine va affrontato, con quali tempi e quali costi.
• Piano di adeguamento e attuazione. Politiche di sicurezza, gestione degli accessi e delle identità, backup e ripristino provati sul serio, gestione delle vulnerabilità, sicurezza dei fornitori, classificazione degli asset. Restiamo accanto alle vostre persone mentre le misure entrano in funzione, non solo mentre vengono scritte.
• Procedura di notifica degli incidenti. Chi decide che un incidente è significativo, entro quando, con quali informazioni, chi firma, chi parla con il CSIRT. Con modulistica pronta e una prova di simulazione, perché le 24 ore passano in fretta.
• Sicurezza della catena di fornitura. Da un lato la qualifica dei vostri fornitori: criteri, clausole contrattuali, verifiche proporzionate al rischio. Dall’altro le risposte da dare ai vostri clienti quando sono loro i soggetti NIS e girano a voi i questionari.
• Integrazione con i sistemi di gestione esistenti. Se avete già la certificazione ISO/IEC 27001, buona parte del lavoro è fatta: si tratta di mappare i controlli che avete sui requisiti ACN e di colmare le differenze. Lo stesso vale per la ISO 22301 sulla continuità operativa e per la ISO/IEC 27017 e 27018 se lavorate in cloud.
• Formazione del vertice e del personale. Una sessione dedicata all’organo amministrativo, come richiede il decreto, e percorsi operativi per chi gestisce sistemi e per chi semplicemente riceve email. Le trovate anche nel nostro catalogo di formazione su privacy e sicurezza delle informazioni.

Sui tempi: nella maggior parte dei casi l’adeguamento sta in quattro-otto mesi, a seconda del punto di partenza. La gap analysis si chiude in poche settimane e serve proprio a dare un tempo reale, non una stima a occhio.

Chi deve adeguarsi, fra soggetti essenziali e importanti

Il D.Lgs. 138/2024 allarga di molto il perimetro rispetto alla vecchia NIS. I destinatari sono divisi in due categorie, a cui corrispondono obblighi identici ma regimi di vigilanza e sanzioni diversi.

• Soggetti essenziali: energia, trasporti, banche e infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT, spazio, pubbliche amministrazioni centrali.
• Soggetti importanti: servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, elettronica, macchinari, autoveicoli), fornitori di servizi digitali, ricerca.

La dimensione conta: in linea generale rientrano le medie imprese (almeno 50 dipendenti oppure oltre 10 milioni di fatturato o di bilancio annuo) e le grandi imprese (almeno 250 dipendenti oppure oltre 50 milioni di fatturato). Alcuni soggetti — fornitori di reti pubbliche di comunicazione, gestori di registri dei nomi di dominio, pubbliche amministrazioni — rientrano a prescindere dalla dimensione.

C’è poi il capitolo che molte aziende scoprono tardi: la catena di fornitura. Anche chi non è soggetto NIS si trova a ricevere questionari, clausole contrattuali e richieste di evidenza dai clienti che lo sono. È il motivo per cui vediamo arrivare da noi tanti fornitori che, formalmente, obbligati non sarebbero.

Le scadenze: dove siamo adesso

Detto in modo diretto: chi comincia oggi ha ancora il tempo per fare le cose per bene. Chi comincia a settembre inoltrato dovrà scegliere che cosa sacrificare.

Che cosa chiede l’ACN: 43 misure per gli essenziali, 37 per gli importanti

Le specifiche di base sono state definite dall’Agenzia per la Cybersicurezza Nazionale con la determinazione del 14 aprile 2025 e successivamente aggiornate. Il conto è questo: 43 misure articolate in 116 requisiti per i soggetti essenziali, 37 misure in 87 requisiti per i soggetti importanti.

Gli ambiti coperti sono quelli dell’articolo 24 del decreto:

• politiche di sicurezza e analisi dei rischi per i sistemi informativi e di rete;
• gestione degli incidenti: rilevazione, classificazione, risposta, notifica;
• continuità operativa: backup, ripristino, gestione della crisi;
• sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti;
• sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, con gestione delle vulnerabilità;
• procedure per valutare l’efficacia delle misure adottate;
• igiene informatica di base e formazione sulla sicurezza;
• crittografia e, dove appropriato, cifratura;
• sicurezza delle risorse umane, controllo degli accessi e gestione degli attivi;
• autenticazione a più fattori, comunicazioni vocali, video e testuali protette.

Nessuna di queste voci si risolve comprando un prodotto. Ognuna chiede una politica scritta, un responsabile, un’attuazione verificabile e una prova che la verifica è stata fatta.

Sanzioni e responsabilità degli amministratori

Per i soggetti essenziali la sanzione amministrativa arriva a 10 milioni di euro o al 2% del fatturato annuo mondiale dell’esercizio precedente, se superiore. Per i soggetti importanti il massimale è di 7 milioni di euro o l’1,4% del fatturato annuo mondiale.

C’è però un aspetto che pesa più della cifra. Il decreto mette in capo agli organi di amministrazione e direttivi il dovere di approvare le modalità di attuazione delle misure, di sovrintendere alla loro implementazione e di seguire personalmente una formazione sulla gestione del rischio informatico. È una responsabilità nominativa, che non si delega al reparto IT.

NIS2 e ISO 27001: che cosa si sovrappone davvero

La NIS2 è un obbligo di legge con sanzioni; la ISO/IEC 27001 è una certificazione volontaria. Ma i due mondi parlano la stessa lingua: analisi del rischio, controlli, riesame della direzione, miglioramento. Un’organizzazione certificata 27001 copre già una quota consistente dei requisiti ACN, e quel che resta riguarda soprattutto la notifica degli incidenti nei tempi di legge, la registrazione sulla piattaforma e la formazione dell’organo amministrativo.

Chi non è certificato non deve certificarsi per forza. Ma partire dalla struttura di un sistema di gestione evita di ritrovarsi, tra un anno, con quaranta documenti scollegati e nessuna prova di averli applicati.

Domande frequenti sulla NIS2

Come faccio a sapere se la mia azienda rientra nel perimetro?
Dipende dal settore, dalla dimensione e dal tipo di servizio erogato. La verifica non è banale, soprattutto per i gruppi societari e per chi opera in più settori. È la prima cosa che guardiamo insieme, e la guardiamo prima di parlare di qualunque altra cosa.

Sono fornitore di un’azienda NIS ma non rientro. Devo fare qualcosa?
Formalmente no, contrattualmente quasi sempre sì. I soggetti NIS devono presidiare la sicurezza della propria catena di fornitura e la trasferiscono ai fornitori tramite requisiti contrattuali e audit. Meglio arrivarci preparati che scoprirlo alla richiesta di rinnovo.

Quanto tempo serve per adeguarsi?
Da quattro a otto mesi nella maggior parte dei casi, a seconda del punto di partenza e della complessità dei sistemi. La gap analysis si chiude in poche settimane e serve proprio a dare un tempo reale, non una stima a occhio.

È sostenibile per una media impresa?
Sì, se il percorso è proporzionato. Molte misure formalizzano pratiche già in uso: quel che manca, di solito, è la prova documentale e la disciplina del riesame. Costruiamo piani modulari, con priorità sulle misure che riducono davvero il rischio e su quelle che l’ACN verificherà per prime.

Abbiamo già la ISO 27001. Basta?
No, ma manca poco. La certificazione copre l’impianto; restano fuori gli adempimenti che sono solo di legge: la registrazione sulla piattaforma ACN e il suo aggiornamento annuale, la procedura di notifica nei tempi del decreto e la formazione nominativa dell’organo amministrativo. Su un’azienda già certificata il lavoro residuo si misura in settimane, non in mesi.

E l’AI Act? Sono la stessa cosa?
No, sono due norme diverse, con perimetri diversi: la NIS2 riguarda chi rientra in un elenco preciso di settori e dimensioni, l’AI Act riguarda praticamente chiunque usi uno strumento di intelligenza artificiale. In azienda finiscono spesso sulla stessa persona, ed è il motivo per cui le seguiamo insieme, ma gli adempimenti non si sovrappongono. Trovate tutto sulla pagina dedicata all’AI Act.