📚 DIRETTIVA NIS2: cos'è e cosa cambia per enti e aziende

Ciao a tutti e bentornati sul mio canale. Oggi parliamo di una parola che forse avete già sentito, anzi sicuramente, ma che probabilmente non vi è arrivata ancora addosso con tutta la sua forza: NIS2. In molti ne parlano, ma non tutti sanno esattamente di cosa si tratta. Il problema è che la NIS2 non è più una cosa che sta sta per arrivare. È già entrata in vigore tramite il recepimento avvenuto a ottobre, e oggi la fase preparatoria è già finita. Il termine per registrarsi alla CN, l'Agenzia per la Cyber Sicurezza Nazionale, è scaduto il 28 febbraio 2025, e ora si entra quindi nel vivo con verifiche, ispezioni, sanzioni. Quindi, per chi ha un determinato tipo di azienda, lavora nella pubblica amministrazione o gestisce anche solo un pezzettino di infrastruttura digitale, non sapere cos'è la NIS2 e quali gli obblighi potrebbe costare molto caro. Comunque no panic, in questo video vedremo insieme: che cosa prevede la NIS2, chi è obbligato ad adeguarsi, cosa bisogna aver già fatto, cosa succede se si è in ritardo con gli adempimenti e come muoversi ora, aprile 2025, senza perdere tempo. Ma cos'è sta NIS2? Allora, partiamo dalle basi. NIS sta per Network and Information Security, è una direttiva europea, cioè una legge dell'Unione Europea, che ogni stato deve poi recepire, a differenza di un regolamento che invece è immediatamente applicabile. Deve recepirla e farla diventare effettiva sul proprio territorio. È stata emanata per imporre a tutti i soggetti considerati strategici, diciamo, delle regole molto più rigide di quelle vigenti in precedenza. Questo con l'obiettivo di rendere più sicuro il funzionamento dell'intera Unione Europea, riducendo il rischio di cyberattacchi, blackout, furti di dati, paralisi nei trasporti, nei servizi pubblici, nella sanità, in tutti i settori essenziali, nella finanza e così via. La prima versione di questa direttiva, chiamata NIS 1 o semplicemente NIS, è del 2016. Aveva più o meno gli stessi obiettivi, ma era un tentativo molto timido: pochi settori coinvolti, zero sanzioni serie. E intanto ovviamente gli attacchi proseguivano. Con la NIS 2 invece si cambia strada. Ci sono più soggetti coinvolti, più controlli, più obblighi e le multe sono più salate. In sostanza, la NIS2 è come la NIS1 ma con gli steroidi. Qual è la differenza principale? La NIS2 non riguarda più solo i grandi, non è più una cosa riservata alle mega aziende, alle multinazionali o ai ministeri. Riguarda anche tante imprese private, comprese quelle di piccole e medie dimensioni, che operano in settori considerati strategici. Quindi Per farla breve, l'Europa emana questa direttiva nel 2022, l'Italia prende la direttiva e inizia i lavori di recepimento che sono durati più o meno per tutto il 2024 e sono culminati con il Decreto Legislativo 138 del 2024 che è entrato in vigore lo scorso 16 ottobre. Il decreto ha introdotto una distinzione fra due categorie di soggetti, ovvero enti essenziali ed enti importanti. Sono enti essenziali tutti quelli che operano in settori considerati fondamentali per la stabilità stessa del nostro paese, quindi tutte le pubbliche amministrazioni centrali e locali come comuni, province, regioni, ministeri e così via, e tutte le aziende che operano negli ambiti energia, trasporti, acqua, sanità, finanza e infrastrutture digitali. Sono invece enti importanti tutti quelli che operano in settori meno strategici ma comunque molto importanti per il paese, ovvero produzione alimentare, manifattura, servizi informatici, cloud, data center, logistica, gestione rifiuti, poste, corrieri. Sono considerati enti importanti anche tutte le aziende private che abbiano più di 50 dipendenti o che superano i 10 milioni di euro di fatturato annuo. Per fare qualche esempio: lavori in un'azienda che vende abiti con più di 50 dipendenti? NIS2. Produci componenti elettronici per il settore sanitario? NIS2. Sei un cloud provider o un consulente IT che gestisce sistemi critici per i clienti? NIS2. Gli enti importanti ed essenziali sono quindi soggetti all'applicazione della NIS2, o più correttamente del decreto attuativo, quindi teniamo sempre in considerazione il Decreto 138. Il decreto ha stabilito che entro il 28 febbraio 2025 tutte le aziende e gli enti pubblici che rientrano fra i soggetti obbligati dovevano registrarsi presso la CN, quindi l'Agenzia per la Cyber Sicurezza Nazionale, dichiarando quindi di rientrare nel perimetro della NIS2, dichiarare i propri punti di contatto, cioè indicare il referente che rappresenterà l'azienda o l'ente nelle interlocuzioni relazione con la CN, attestare il possesso o quantomeno la pianificazione delle misure di sicurezza previste. Quindi l'obbligo non era solo di collegarsi al portale della CN, fare una registrazione formale, fare due click qua e là, ma bisognava dimostrare di aver già fatto una serie di cose come aver cominciato un assessment di rischio informatico, identificato le vulnerabilità, avviato una pianificazione seria per colmare le lacune, nominato un referente interno per la cyber sicurezza. Oggi, visto che siamo già ad aprile, siamo in fase attuativa piena, quindi è già entrata in vigore e potenzialmente le aziende e gli enti potrebbero già essere soggetti a sanzioni se non si sono adeguati. Chi ha rispettato i termini è dentro, chi no rischia ed è meglio che si metta in pari quanto prima. Ma capiamo un attimo quali sono gli obblighi di chi rientra nel perimetro della NIS2 e del decreto attuativo. La NIS2, detta in breve, obbliga aziende ed enti a prendersi cura seriamente della loro sicurezza informatica. Non basta più dire "Siamo a posto perché abbiamo l'antivirus", si deve fare un lavoro vero. Nello specifico gli obblighi principali sono: 1) fare una valutazione del rischio, quindi devi capire bene quali sono i rischi informatici legati alla tua attività. Non serve un romanzo, ma non basta nemmeno un foglio volante con scritte due indicazioni, serve una valutazione seria e documentata in pratica. 2) adottare misure tecniche e organizzative adeguate. Tipo firewall, segmentazione delle reti, autenticazione a più fattori, aggiornamenti regolari, backup sicuri, gestione delle vulnerabilità, monitoraggio, ma anche obblighi di tipo documentale, diciamo, quindi policy interne, ruoli chiari, documentazione, formazione al personale e via dicendo. 3. Avere un piano di continuità operativa. Cosa succede se vieni attaccato e i tuoi sistemi vanno giù? Devi avere un piano, in pratica. Come reagisci? Chi fa cosa? Come minimizzi i danni? Deve essere tutto chiarito da cima a fondo. 4. Gestire correttamente i fornitori. Se la tua azienda o il tuo ente sono sicuri ma si avvalgono di fornitori che hanno un sistema di sicurezza che assomiglia a uno scolapasta, non serve a niente aver fatto tutte le parti precedenti. La sicurezza dei propri sistemi passa anche da una corretta scelta dei fornitori e dal controllo attuato sulle loro politiche di sicurezza. 5. Notificare gli incidenti. Se sei un soggetto che rientra nel perimetro della NIS2 e subisci un incidente significativo, quindi che può avere un impatto impatto concreto sulla tua produzione o sull'erogazione di un servizio, devi fare una notifica dell'incidente entro 24 ore al CSIRT, che è il gruppo interno alla CN, lo vedremo meglio più avanti, che si occupa proprio di gestire gli incidenti di sicurezza. Poi entro 72 ore devi fare una valutazione preliminare dell'impatto che l'incidente ha avuto e continuare a tenere informata l'autorità con relazioni costanti fino alla fine, quando dovrà essere poi inviato un report completo di tutto l'incidente, di come è stato gestito, dei danni e così via. Ma andiamo a vedere un po' più da vicino la CN, visto che l'ho già citata alcune volte. Per dirla in parole molto povere, la CN, che sta per Agenzia per la Cyber Sicurezza Nazionale, è la figura che in Italia gestisce tutto quello che riguarda la NIS2. Non è una figura simbolica, ha poteri veri. La CN può identificare un'azienda o un ente come soggetto obbligato, quindi ovviamente anche se l'azienda o l'ente ha ritenuto di non essere obbligato. Può fare controlli, può chiedere documentazione, può fare multe se non sei conforme, e può anche pubblicare le tue violazioni rendendole pubbliche. Quindi immaginiamo anche il danno reputazionale. Dal 1° marzo 2025 la CN ha già cominciato a inviare richieste di documentazione a verificare le misure dichiarate. E si vocifera sono già in corso i primi controlli campione, quindi eventualmente se dovesse risultare dai controlli campione che qualcosa non è stato fatto o è stato fatto male, potrebbero arrivare già le prime multe. Dentro alla CN è costituito il CSIRT, che è un acronimo inglese che sta per Computer Security Incident Response Team. Quindi traducendo: gruppo di intervento per gli incidenti di sicurezza informatica. È un organo che la direttiva NIS2 ha previsto come obbligatorio e in Italia abbiamo creato appunto questo organo direttamente dentro all'ACN. Non era una cosa obbligatoria o prevista dalla direttiva, ma è stato scelto di prendere un'agenzia che esisteva già, esisteva già prima dell'emanazione della NIS2, e costituire al suo interno appunto il CSIRT, quindi questo gruppo di intervento. Il CSIRT in pratica è soggetto a cui dobbiamo comunicare gli incidenti, mentre l'ACN in generale è l'organizzazione che gestisce tutto il resto del perimetro e che soprattutto fa le sanzioni. E le sanzioni previste dalla NIS2 sono importanti. Se sei un ente essenziale, possono arrivare fino a 10 milioni di euro o fino al 2% del fatturato globale. Se sei un ente importante, fino a 7 milioni di euro o l'1,4% del assicurato. E purtroppo non finisce lì, perché oltre al danno economico infatti ci sono altri tipi di conseguenze. C'è un danno di tipo reputazionale se la CN decide di rendere pubblico l'incidente. Inoltre chi gestisce l'azienda può essere ritenuto personalmente responsabile se ha ignorato gli obblighi e non ha fatto nulla. Oltre questo c'è anche la possibilità di essere esclusi dagli appalti pubblici per chi non è conforme. Immagino che tutte queste cose facciano venire un po' d'ansia, ma il punto è che per fortuna si sistema tutto e teoricamente siamo ancora all'interno di una finestra di tolleranza che, anche se non evita completamente le sanzioni, magari può aiutare a mitigarle un pochino. Quali sono dunque i primi passi da compiere? 1. Capire se la propria organizzazione rientra nel perimetro della normativa. Si controlla il settore, si controlla il numero di dipendenti, i servizi forniti, il fatturato. Chiaramente questo se si è un'azienda, perché gli enti locali sono riconosciuti automaticamente come soggetti obbligati, quindi non se la scampano. 2. Fare la registrazione, anche se tardiva, al sito della CN. Fare finta di niente in questo caso purtroppo ha veramente poco senso. Meglio farla adesso, la registrazione, un po' in ritardo, che temporeggiare ancora, perché tanto aumenta solo la sanzione. 3. Nominare un referente, una persona che segua la questione NIS2 e faccia da punto di riferimento da indicare, fra l'altro, poi nella registrazione al portale della CN. 4. Fare un primo assessment. Parti da un'analisi della situazione attuale: ci sono già delle misure in atto? Mancano delle policy che è meglio adottare? I backup sono sicuri? I dipendenti sono stati formati? Quindi si risponde a tutta una serie di domande e si capisce qual è lo stato dell'arte. 5. Definire un piano di adeguamento. Anche se non si deve fare tutto in un giorno, si deve comunque dimostrare che ci si sta muovendo in modo strutturato. Quindi si fa un piano dove si definisce quello che sarà fatto, più o meno delle tempistiche e come si ha intenzione di fare le cose. 6. Formare i dipendenti. Questo è fondamentale, dovrebbero farlo tutti, anche coloro che non rientrano nel perimetro della NIS2. Perché il fattore umano è sempre il punto più debole di ogni azienda, il 99% degli attacchi passa da lì e quindi occorre organizzare dei corsi di formazione per i dipendenti in modo che siano più consapevoli e pronti ad affrontare quello che c'è da affrontare. 7. Documentare tutto. La NIS2 è una normativa di compliance come GDPR, come l'AI Act, come tutte le altre normative di questo tipo. E quindi è anche carta, non è solo adeguamento di per sé. Se non ci sono prove scritte di quello che è stato fatto, è come se non fosse stato fatto nulla. Quindi la cosa migliore è documentare ogni singolo passaggio. Ad esempio: faccio la formazione dipendenti ed emetto degli attestati, oppure adotto una policy e l'adotto in modo scritto, la rendo disponibile, magari la mando via mail ai dipendenti e via dicendo. Quindi, per tirare un po' le fila e riassumere il contenuto del video, la NIS 2 è la nuova direttiva europea sulla cyber security. Coinvolge tantissime imprese, anche le piccole e medie imprese. In Italia entra in vigore con il Decreto 138 del 2024, che quindi va considerato il punto di riferimento normativo di questa materia. Sono previsti obblighi concreti e sanzioni pesanti per chi non si adegua. Ricordiamoci sempre poi che la sicurezza non è un optional, concepiamola come un'assicurazione. Sembra sempre che sia un investimento inutile e che sia troppo costoso, Finché non succede il fattaccio, e allora ci fa comodo perché ci leva dai guai. Se questo video Pillola ti è stato utile, iscriviti al canale, lascia un commento e magari condividi il video con chi potrebbe averne bisogno. Noi ci vediamo alla prossima!