NIS2: riguarda la mia azienda? Come capirlo, e cosa fare

La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il decreto legislativo 138 del 2024. Da allora la domanda che ricevo più spesso è sempre la stessa, e quasi sempre è formulata male: «devo mettermi in regola con la NIS2?».

È formulata male perché tratta la norma come un interruttore, dentro o fuori. Nella pratica ci sono tre posizioni diverse, e due su tre comportano del lavoro.

Le tre posizioni possibili

La seconda riga è quella che sorprende, ed è la più comune fra le piccole imprese del nostro territorio. Non arriva una lettera dall'Agenzia: arriva un questionario dal cliente, spesso allegato al rinnovo di un contratto, con domande su backup, autenticazione, gestione degli accessi e tempi di notifica di un incidente.

Come capire in quale posizione sei

Il criterio combina due cose: il settore in cui operi e la dimensione dell'impresa. I settori sono elencati negli allegati della direttiva e comprendono, fra gli altri, energia, trasporti, banche, sanità, acqua, infrastrutture digitali, pubblica amministrazione, servizi postali, gestione dei rifiuti, produzione e distribuzione di alimenti, fabbricazione di dispositivi medici, elettronica e macchinari.

La soglia dimensionale generale è quella della media impresa: almeno 50 dipendenti oppure 10 milioni di euro di fatturato o di bilancio annuo. Alcune categorie, per esempio certi fornitori di servizi digitali e di comunicazione elettronica, rientrano indipendentemente dalla dimensione.

Chi rientra deve registrarsi sulla piattaforma dell'Agenzia per la cybersicurezza nazionale entro le finestre stabilite, e da lì gli obblighi si scaglionano nel tempo. Le scadenze sono cambiate più volte durante l'attuazione: vanno verificate sul sito dell'Agenzia al momento in cui ci si muove, non ricopiate da un articolo.

Cosa chiede davvero, tradotto

L'elenco delle misure minime, spogliato del linguaggio normativo, è meno esotico di quanto sembri. Sono le cose che un'azienda dovrebbe fare comunque:

• Analisi dei rischi e una politica di sicurezza scritta, cioè decisioni prese in anticipo invece che durante l'emergenza.
• Gestione degli incidenti: chi fa cosa, in che ordine, e con quali tempi di notifica.
• Continuità operativa: backup, ripristino, gestione della crisi.
• Sicurezza della catena di fornitura: valutare i fornitori che toccano i tuoi sistemi.
• Igiene informatica di base e formazione del personale.
• Crittografia, controllo degli accessi, autenticazione a più fattori.
• Politiche di valutazione dell'efficacia delle misure, cioè verificare che funzionino invece di dichiararle.

Due punti meritano attenzione perché sono quelli che cambiano davvero il modo di lavorare. Il primo è la notifica degli incidenti, con una segnalazione iniziale entro 24 ore dalla conoscenza di un incidente significativo: 24 ore non si improvvisano, servono un contatto già individuato e una procedura scritta. Il secondo è la responsabilità degli organi di gestione, che rispondono dell'attuazione delle misure: la sicurezza smette di essere una faccenda delegabile all'informatico.

Se sei un fornitore: cosa ti verrà chiesto

Chi rientra deve garantire la sicurezza della propria catena di fornitura, e lo fa nell'unico modo che ha: chiedendola per contratto a chi lo fornisce. I questionari che vedo circolare somigliano tutti, e chiedono in sostanza queste cose:

1. Come sono protetti gli accessi ai sistemi che toccano i dati del cliente, e se c'è l'autenticazione a più fattori.
2. Come e dove sono conservati i backup, e quando è stato provato un ripristino l'ultima volta.
3. Entro quanto tempo comunichi un incidente che coinvolge i loro dati, e a chi.
4. Chi ha accesso ai dati dentro la tua azienda, e cosa succede quando qualcuno se ne va.
5. Se hai una politica di sicurezza scritta e chi ne risponde.

Rispondere bene a queste cinque domande non richiede un progetto di conformità: richiede di avere quelle cose e di averle scritte. Chi non ce le ha rischia di perdere il contratto in fase di rinnovo, ed è per questo che vale la pena muoversi prima che il questionario arrivi.

Da dove partire, in concreto

1. Stabilire la posizione: soggetto obbligato, fornitore di un obbligato, o fuori. Si fa guardando settore, dimensione e portafoglio clienti.
2. Se sei obbligato, verificare le scadenze correnti sul sito dell'Agenzia per la cybersicurezza nazionale e completare la registrazione.
3. Mettere per iscritto quello che già fai. Buona parte delle misure minime esiste in molte aziende ma non è documentata, e in un audit non documentato equivale a non fatto.
4. Colmare le lacune vere, che nella mia esperienza sono quasi sempre le stesse: autenticazione a più fattori incompleta, backup mai provato, nessuna procedura di notifica.
5. Fissare una verifica periodica, perché la conformità non è uno stato che si raggiunge una volta.

Il punto tre è quello che fa risparmiare di più. Prima di comprare qualcosa conviene guardare cosa c'è già: spesso il divario fra la situazione reale e quella richiesta è più stretto di quanto si tema, e il lavoro è di ordinamento più che di acquisto.

Questo articolo spiega il quadro, non sostituisce una verifica sul caso specifico né una consulenza legale. Per gli aspetti di sicurezza informatica una valutazione iniziale serve proprio a stabilire dove sei rispetto a quelle misure, prima di decidere quanto spendere.