Quando si parla di normative europee in tema di cybersecurity, molti imprenditori reagiscono con un misto di rassegnazione e procrastinazione. La direttiva NIS2 (Network and Information Security) merita però un'attenzione diversa, per due motivi: amplia drasticamente la platea delle aziende coinvolte, e introduce sanzioni economiche e personali significative per i vertici aziendali.
Chi è coinvolto da NIS2?
A differenza della prima direttiva NIS, che riguardava un numero ristretto di operatori critici, NIS2 si applica per criteri di settore e di dimensione. In linea di massima, sei coinvolto se:
- operi in uno dei settori "essenziali" o "importanti" indicati dalla direttiva (energia, trasporti, banche, sanità, acqua, ICT, manifatturiero in alcuni casi, food, e altri);
- hai più di 50 dipendenti, oppure un fatturato superiore a 10 milioni di euro.
Anche aziende sotto soglia possono essere coinvolte se forniscono servizi critici a soggetti regolati. La supply chain è esplicitamente parte del perimetro.
Quali sono i requisiti minimi?
NIS2 chiede misure tecniche e organizzative proporzionate al rischio, tra cui:
- Analisi dei rischi e politiche di sicurezza documentate
- Gestione degli incidenti con procedure di rilevamento, risposta e ripristino
- Continuità operativa e gestione del backup
- Sicurezza nella supply chain
- Sicurezza nello sviluppo e manutenzione dei sistemi IT
- Procedure per valutare l'efficacia delle misure adottate
- Formazione del personale e igiene informatica di base
- Crittografia dove appropriato
- Controlli sul personale e gestione asset
- MFA, accesso sicuro, comunicazioni protette
Cosa fare ora, in pratica
Se la tua azienda è (o potrebbe essere) coinvolta, il percorso operativo è abbastanza chiaro:
1. Capire se sei dentro
Una gap analysis di poche ore con un consulente esperto è sufficiente per chiarire se NIS2 ti riguarda direttamente o indirettamente come fornitore.
2. Costruire una baseline minima
Anche le aziende non coinvolte oggi traggono vantaggio dall'implementare le misure base: EDR, MFA su tutti gli accessi, backup immutabile, formazione del personale, gestione patch.
3. Documentare
NIS2 non chiede solo di "fare la sicurezza", chiede di poter dimostrare di farla. Procedure scritte, registri, evidenze di test e formazione: la documentazione è parte del compliance.
Sanzioni: perché non puoi ignorarla
Le sanzioni sono significative — fino al 2% del fatturato globale per le entità essenziali — e colpiscono anche i vertici aziendali personalmente in caso di violazione grave dovuta a negligenza.
Da dove iniziare
Se vuoi capire concretamente la tua posizione rispetto a NIS2, possiamo organizzare una gap analysis gratuita di 60 minuti per fornirti un quadro chiaro: stato attuale, criticità, priorità di intervento e stima dei costi.
Prenota una call con noi e partiamo da lì.
Articoli collegati: Phishing: 7 segnali per riconoscerlo · MSP vs assistenza tradizionale: il confronto onesto