NIS2 e sicurezza informatica per le imprese
NIS2: ti riguarda?
È la direttiva europea sulla sicurezza delle reti: vale in tutta l'Unione, e ogni Stato la recepisce con la propria legge. Chi rientra nel perimetro deve registrarsi, adottare misure di gestione del rischio e segnalare gli incidenti entro finestre di ore, non di giorni. Le sanzioni si calcolano in percentuale sul fatturato. La parte che sorprende quasi tutti: non riguarda solo le grandi. Il perimetro tocca i settori indicati dalla direttiva — energia, trasporti, sanità, acqua, infrastrutture digitali, alimentare, manifattura di certi tipi — e si estende alla catena di fornitura. Se fornisci un'azienda che rientra, i suoi obblighi diventano richieste contrattuali verso di te: è il motivo per cui molti scoprono di essere coinvolti da un questionario mandato da un cliente, non da un avviso. Se tocchi anche te dipende dal settore, dalla dimensione, dal Paese e da chi servi — non è una cosa che si stabilisce da una pagina web.
Chi è obbligato, e come si fa a saperlo
La norma divide chi rientra in due gruppi: soggetti essenziali e soggetti importanti. Contano il settore — energia, trasporti, sanità, banche, infrastrutture digitali, acqua, rifiuti, alimentare, manifatturiero, poste, chimica, spazio, servizi digitali e pubblica amministrazione — e la dimensione dell'azienda. Non si decide da soli: l'Agenzia per la Cybersicurezza Nazionale iscrive i soggetti in un elenco e lo comunica all'interessato. Chi rientra si registra sul portale ACN, e la registrazione si rinnova ogni anno fra il 1° gennaio e il 28 febbraio. Questa pagina spiega la norma, non stabilisce se riguarda te: quello si vede sui tuoi dati, con l'Agenzia e con chi ti segue sul piano legale.
Le scadenze che contano
La direttiva europea è la 2022/2555. In Italia l'ha recepita il decreto legislativo 138 del 4 settembre 2024, in vigore dal 16 ottobre 2024, e da lì partono termini precisi. Dal gennaio 2026 chi rientra deve saper riconoscere un incidente significativo e segnalarlo all'Agenzia: una pre-allerta entro 24 ore, la notifica vera entro 72 ore, una relazione finale entro un mese. E c'è una data vicina: entro il 31 ottobre 2026 le misure di sicurezza di base stabilite dall'ACN devono essere operative, non pianificate. Da quel giorno l'Agenzia può cominciare a ispezionare.
Se fornisci a un'azienda obbligata
È la parte che sorprende quasi tutti, e riguarda molte più aziende di quante rientrino davvero nell'elenco. La NIS2 chiede a chi è obbligato di mettere in sicurezza la propria catena di fornitura: mappare i fornitori informatici rilevanti, rivedere le clausole dei contratti, controllarli nel tempo. Tu puoi non essere nell'elenco dell'ACN e ricevere lo stesso un questionario, una clausola nuova al rinnovo, o la richiesta di dimostrare come tieni i dati che ti passano. Non è la legge che si rivolge a te: è il tuo cliente, che di quei dati risponde anche per la parte che sta da te. Chi non sa rispondere viene sostituito, e di solito succede al rinnovo, senza discussione.
Cosa si rischia
Le sanzioni si calcolano sul fatturato, non su una tariffa fissa: fino a 10 milioni di euro o il 2% del fatturato annuo mondiale per i soggetti essenziali, fino a 7 milioni o l'1,4% per gli importanti, e si applica l'importo più alto dei due. C'è però una conseguenza che pesa più del denaro: la responsabilità sta sugli organi di amministrazione, che devono approvare le misure e vigilare su come vengono attuate, e nei casi gravi possono essere sospesi dalle funzioni dirigenziali. Non è una multa che si gira all'ufficio tecnico.
Trova un professionista verificato
Boutique Hacker non vende test: mette in contatto chi ha bisogno di sicurezza con professionisti dalle certificazioni pratiche verificate. Il lavoro, il preventivo e il contratto si concordano direttamente con il membro scelto, seguendo le regole d'ingaggio della rete.