NIS2: la vostra azienda è soggetta? Come verificarlo

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024 ed entrata in vigore il 16 ottobre 2024, ha allargato di molto il numero di aziende coinvolte negli obblighi di cybersicurezza. Molte imprese si chiedono ancora se riguardi anche loro. Questa guida segue lo stesso ragionamento che facciamo con i clienti per dare una risposta.

1. Il settore

La NIS2 si applica a chi opera in 18 settori, divisi in due gruppi. I settori ad alta criticità comprendono, tra gli altri, energia, trasporti, banche e infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT tra imprese, pubblica amministrazione e spazio. Gli altri settori critici comprendono servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, manifattura di alcune categorie (dispositivi medici, elettronica, macchinari, veicoli), fornitori di servizi digitali e ricerca.

Il primo passo è quindi verificare se l’attività svolta, guardando anche il codice ATECO, rientra in uno di questi settori. Non conta solo l’attività principale: anche un’attività secondaria rilevante può far rientrare l’azienda nel perimetro.

2. La dimensione

Di regola la NIS2 riguarda le medie e grandi imprese: almeno 50 dipendenti, oppure un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro. Per il calcolo vanno considerate anche le imprese collegate e associate, secondo le regole europee sulle PMI.

Ci sono però eccezioni importanti: alcuni soggetti sono inclusi indipendentemente dalla dimensione, ad esempio i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori di nomi di dominio e DNS, molte pubbliche amministrazioni, e i soggetti unici fornitori di un servizio essenziale.

3. Essenziale o importante

Chi rientra nel perimetro è classificato come soggetto essenziale o soggetto importante. In generale sono essenziali le grandi imprese dei settori ad alta criticità; sono importanti le medie imprese di quei settori e le medie e grandi imprese degli altri settori critici. Gli obblighi sono simili, ma cambiano l’intensità della vigilanza e l’entità delle sanzioni.

4. Se siete fornitori di un soggetto NIS2

Anche se la vostra azienda non rientra direttamente, la NIS2 può arrivare attraverso i clienti. I soggetti NIS2 devono gestire la sicurezza della catena di fornitura: chiederanno ai fornitori garanzie, questionari, clausole contrattuali e, sempre più spesso, evidenze come penetration test e certificazioni. Per molte PMI questo è l’impatto più concreto.

5. Gli obblighi, se siete soggetti

• Registrazione sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale, da rinnovare ogni anno tra il 1° gennaio e il 28 febbraio, con la designazione di un punto di contatto.
• Aggiornamento annuale delle informazioni (indirizzi IP pubblici, domini, responsabili) tra il 15 aprile e il 31 maggio.
• Misure di sicurezza tecniche e organizzative per la gestione dei rischi, secondo le specifiche di base definite dall’ACN.
• Notifica degli incidenti significativi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
• Responsabilità e formazione degli organi di amministrazione, che approvano le misure e ne rispondono.

Le sanzioni possono arrivare a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e a 7 milioni o all’1,4% per i soggetti importanti.

6. Cosa fare adesso

• Verificare settore, dimensione ed eventuali eccezioni, documentando il ragionamento.
• Se siete soggetti: controllare la registrazione sulla piattaforma ACN e le scadenze dell’anno.
• Eseguire una gap analysis rispetto alle misure richieste, per sapere cosa manca e con quali priorità.
• Verificare tecnicamente le misure adottate, ad esempio con un penetration test.
• Se siete fornitori di soggetti NIS2: prepararvi alle richieste dei clienti con documentazione ed evidenze.

In conclusione

La risposta a “la NIS2 ci riguarda?” richiede poco tempo se si segue un metodo, ed è il punto di partenza di tutto il resto. Vi accompagniamo dalla verifica iniziale alla gap analysis e all’adeguamento: trovate il percorso nella pagina consulenza NIS2 e ISO 27001. Per mantenere la conformità nel tempo c’è il servizio vCISO.

Questo articolo ha finalità informative e non sostituisce un parere legale. Per i casi dubbi fanno fede il D.Lgs. 138/2024 e le indicazioni dell’ACN.