La Direttiva NIS 2 amplia drasticamente il perimetro delle aziende obbligate a innalzare i propri standard di sicurezza digitale. La distinzione principale si basa sulla dimensione aziendale e sulla criticità del settore.
-
Requisito dimensionale (soglia minima)
In linea generale, la NIS 2 si applica a tutte le entità che operano nei settori elencati e che hanno:
- almeno 50 dipendenti
- oppure un fatturato annuo/totale di bilancio superiore a 10 milioni di euro
Nota: Alcune entità (come PA e fornitori di reti TLC) sono incluse a prescindere dalla dimensione.
-
Tabella comparativa: settori ad alta criticità vs altri settori critici
| Ambito di operatività | Soggetti ESSENZIALI (Alta Criticità) | Soggetti IMPORTANTI (Altri Settori) |
|---|---|---|
| Energia e trasporti | Elettricità, Petrolio, Gas, Idrogeno, Aereo, Ferroviario, Navale | – |
| Salute e ambiente | Ospedali, Laboratori, Produzione farmaci | Gestione dei rifiuti |
| Infrastrutture digitali | Cloud, Data center, Content Delivery Networks (CDN), Trust Services | Fornitori di servizi digitali (Marketplace, Motori di ricerca, Social) |
| Servizi pubblici | Acqua potabile, Acque reflue, Pubblica Amministrazione | Servizi postali e di corriere |
| Produzione e logistica | – | Alimentare, Chimica, Fabbricazione (Elettronica, Macchinari, Veicoli) |
| Spazio e ricerca | Infrastrutture terrestri spaziali | Istituti di ricerca |
-
Le 3 scadenze e obblighi chiave
Le azioni concrete richieste:
- Governance: il management è responsabile diretto della cybersecurity (rischio di sanzioni personali).
- Segnalazione incidenti: obbligo di notifica “preallarme” entro 24 ore dall’evento critico.
- Sicurezza della supply chain: l’azienda deve garantire che anche i propri fornitori rispettino standard minimi di sicurezza.
Approfondimento: cosa comporta l’adeguamento alla NIS 2 per l’impresa?
Essere classificati come “Soggetto Essenziale” o “Importante” non è solo una questione di etichetta: implica una trasformazione profonda del modo in cui l’azienda gestisce il rischio digitale.
La conformità non è facoltativa: i criteri di cybersicurezza e le scadenze per le aziende europee sono definiti nel testo completo della Direttiva UE 2022/2555 (NIS 2), che mira a stabilire un livello comune elevato di sicurezza informatica in tutta l’Unione.
-
Le sanzioni: il costo della non-conformità
Uno dei motivi per cui la NIS 2 viene definita il “GDPR della Cybersecurity” è l’entità delle sanzioni.
- Per i Soggetti Essenziali: sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo
- Per i Soggetti Importanti: sanzioni fino a 7 milioni di euro o all’1,4% del fatturato
- Responsabilità apicale: la direttiva introduce la responsabilità diretta degli organi direttivi (CDA e amministratori) in caso di gravi mancanze nella gestione del rischio
-
Le 10 misure di sicurezza obbligatorie
Abbiamo fatto un elenco delle misure minime NIS 2:
- Politiche di analisi dei rischi e sicurezza dei sistemi informativi.
- Gestione degli incidenti (prevenzione, rilevamento e risposta).
- Business Continuity: gestione delle crisi e ripristino in caso di disastro.
- Sicurezza della catena di approvvigionamento: valutazione dei fornitori IT.
- Sicurezza dell’acquisizione e manutenzione dei sistemi (gestione delle vulnerabilità).
- Politiche di valutazione dell’efficacia delle misure di sicurezza.
- Pratiche di igiene informatica e formazione del personale.
- Uso della crittografia e di soluzioni di autenticazione a più fattori (MFA).
- Sicurezza delle risorse umane e controllo degli accessi.
- Uso di comunicazioni protette (video, voce, dati).
-
La gestione della Supply Chain: il “contagio” della conformità
Anche se un’azienda è sotto la soglia dei 50 dipendenti, potrebbe essere obbligata ad adeguarsi se è fornitrice di un Soggetto Essenziale.
Esempio pratico: una piccola software house che gestisce i dati di un ospedale (Soggetto Essenziale) dovrà garantire standard NIS 2 per non far perdere la conformità al proprio cliente.
-
Cronoprogramma dell’adeguamento: la scadenza NIS 2 in Italia
- 17 Ottobre 2024: termine ultimo per il recepimento degli Stati Membri.
- Primo trimestre 2025: piena operatività dei controlli e delle sanzioni in Italia.
- Revisione periodica: la lista dei soggetti critici verrà aggiornata ogni due anni.
La conformità alla NIS 2 non deve essere vista come un mero obbligo burocratico, ma come un’opportunità per rendere la propria azienda resiliente in un mercato dove il downtime digitale è il rischio numero uno. Un’infrastruttura di rete con SLA garantiti e ridondanza è il primo passo concreto verso questa resilienza.
Domande Frequenti sulla NIS 2
D: Qual è la differenza tra Soggetti Essenziali e Importanti nella NIS 2?
R: La differenza risiede nella criticità del settore e nella dimensione aziendale. I soggetti Essenziali (es. Energia, Sanità) sono sottoposti a una vigilanza ex-ante (preventiva) e sanzioni più elevate. I soggetti Importanti (es. Logistica, Produzione) subiscono una vigilanza ex-post (in caso di incidente) e sanzioni leggermente ridotte, pur dovendo rispettare gli stessi standard di sicurezza.
D: Le PMI sono escluse dalla Direttiva NIS 2?
R: In genere, le aziende con meno di 50 dipendenti e un fatturato inferiore a 10 milioni di euro sono escluse. Tuttavia, la NIS 2 si applica anche alle micro-imprese se svolgono un ruolo critico (es. fornitori di reti TLC o servizi pubblici) o se sono fornitori strategici di Soggetti Essenziali.
D: Cosa rischia un amministratore d’azienda in caso di mancata conformità?
R: La NIS 2 introduce la responsabilità diretta degli organi direttivi. Gli amministratori possono essere ritenuti personalmente responsabili per la mancata approvazione delle misure di gestione dei rischi e possono subire sanzioni amministrative o la sospensione temporanea dalle funzioni dirigenziali.
D: Perché gli SLA sono fondamentali per la conformità NIS 2?
R: La direttiva impone la Business Continuity (continuità operativa). Avere un contratto con SLA (Service Level Agreement) garantiti assicura che l’infrastruttura di rete sia resiliente e che i tempi di ripristino in caso di attacco siano certi, riducendo l’impatto degli incidenti informatici.