La direttiva NIS2 cambia il modo in cui le organizzazioni europee affrontano la sicurezza informatica. Rispetto alla prima direttiva NIS, il perimetro si allarga a molti più settori e la responsabilità della gestione del rischio cyber sale fino agli organi di amministrazione.
In Italia il recepimento è avvenuto con il decreto legislativo 138 del 2024, che affida all’Agenzia per la cybersicurezza nazionale il ruolo di autorità competente e punto di contatto unico.
Chi rientra nel perimetro
Sono coinvolti i soggetti essenziali e importanti di settori come energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, servizi postali, gestione dei rifiuti e manifattura critica. Le pubbliche amministrazioni centrali, regionali e i comuni più grandi sono inclusi direttamente, e devono registrarsi sulla piattaforma dell’ACN.
Gli obblighi principali
Le misure richieste toccano analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, crittografia, controllo degli accessi e formazione del personale. Gli incidenti significativi vanno notificati al CSIRT Italia con una preallerta entro 24 ore e una notifica entro 72 ore
Gli organi di amministrazione approvano le misure di sicurezza, ne sorvegliano l’attuazione e possono essere chiamati a risponderne. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali.
La catena di fornitura
Uno dei punti più delicati è la sicurezza dei fornitori. Molti attacchi ransomware degli ultimi anni sono entrati da software o servizi di terze parti. La NIS2 chiede di valutare le vulnerabilità di ogni fornitore diretto e di inserire requisiti di sicurezza nei contratti, un lavoro che per le PA si intreccia con gli acquisti di servizi cloud qualificati.
Per le organizzazioni più piccole la sfida è soprattutto di competenze: servono figure in grado di governare il rischio cyber, non solo strumenti tecnici.
