La NIS2 non riguarda solo le grandi aziende
Con il recepimento della Direttiva (UE) 2022/2555 attraverso il D.Lgs. 138/2024, l'Italia ha ufficialmente esteso gli obblighi di cybersecurity ben oltre il perimetro delle infrastrutture critiche. A differenza della NIS1, che si applicava a una platea ristretta di operatori di servizi essenziali, la NIS2 coinvolge oltre 20.000 soggetti iscritti nell'elenco ACN, e tra questi migliaia di PMI che operano in settori come manifattura, alimentare, chimico, servizi digitali e gestione rifiuti.
Chi rientra nel perimetro?
La NIS2 distingue tra soggetti essenziali e soggetti importanti. La differenza non sta solo nel settore, ma anche nelle dimensioni: un'azienda con almeno 50 dipendenti o 10 milioni di euro di fatturato in un settore coperto rientra automaticamente. Ma attenzione: alcune categorie rientrano a prescindere dalla dimensione (per esempio fornitori di reti e servizi di comunicazione elettronica, prestatori di servizi fiduciari, gestori di registri dei nomi di dominio e fornitori di servizi DNS, oltre alle pubbliche amministrazioni indicate dal decreto). Chi si trova nella supply chain di un soggetto NIS non entra invece automaticamente nel perimetro, ma si vede trasferire i requisiti per via contrattuale dal cliente.
- Settori ad alta criticità: energia, trasporti, sanità, acqua potabile, infrastrutture digitali, pubblica amministrazione, spazio
- Altri settori critici: servizi postali, gestione rifiuti, produzione alimentare, fabbricazione di dispositivi medici, chimica, ricerca
- Servizi digitali: marketplace online, motori di ricerca, piattaforme social, servizi cloud, data center
Le scadenze da segnare
Il calendario è serrato. La registrazione sulla piattaforma ACN non ha una scadenza una tantum: la finestra è annuale e si chiude il 28 febbraio di ogni anno (ACN, Registrazione NIS), con la prima finestra aperta dal 1° dicembre 2024 al 28 febbraio 2025. Le misure di sicurezza di base vanno adottate entro 18 mesi dal consolidamento dell'elenco dei soggetti NIS (aprile 2025), quindi entro ottobre 2026, mentre gli obblighi di notifica degli incidenti decorrono dal nono mese. Le sanzioni per i soggetti importanti arrivano fino a 7 milioni di euro o l'1,4% del fatturato mondiale.
I 4 pilastri della conformità
Per essere conformi, le PMI devono lavorare su quattro aree fondamentali:
- Governance: il management deve approvare e supervisionare le misure di cybersecurity. La responsabilità è personale.
- Gestione del rischio: analisi formale dei rischi, misure proporzionate, revisione periodica.
- Incident reporting: notifica entro 24 ore all'ACN per incidenti significativi, report completo entro 72 ore.
- Supply chain: verifica della sicurezza dei fornitori critici e dei provider IT.
Il costo dell'inazione
Il quadro di rischio italiano continua a peggiorare: il Rapporto Clusit documenta da anni una crescita costante degli attacchi gravi che colpiscono l'Italia, e per una PMI il costo di una violazione (fermo produttivo, ripristino dei sistemi, notifiche e contenzioso) supera quasi sempre quello delle misure preventive. Non conformarsi alla NIS2 significa sommare a questo rischio le sanzioni amministrative e la responsabilità dirigenziale.
Da dove iniziare
Il primo passo è un assessment strutturato: capire se si rientra nel perimetro, mappare gli asset critici e misurare il gap rispetto ai requisiti. Non serve un progetto da centinaia di migliaia di euro: serve un approccio proporzionato e un piano d'azione concreto. Esattamente quello che il Modello del Minimo Sostenibile è progettato per fornire. Con una piattaforma XDR come Presidio è possibile coprire i requisiti di rilevamento e risposta, mentre un percorso Blueprint guida l'intera roadmap di conformità.