NIS2 per una media impresa: che cosa richiede davvero la direttiva

Quando la direttiva europea NIS2 è diventata applicabile nel 2024, la maggior parte delle medie imprese l'ha considerata una questione che riguarda banche e operatori di telecomunicazioni. Nel 2026 questo presupposto è crollato. Le trasposizioni nazionali stanno entrando in vigore in tutta l'UE, in diversi Paesi con effetto immediato. E basta fornire servizi critici nella catena di fornitura di un cliente che rientra a sua volta nella NIS2 - e improvvisamente ci rientra anche Lei.

Questo articolo non sostituisce il parere di un avvocato. Qui però ho raccolto ciò che mancava a me quando un cliente mi ha chiesto per la prima volta come GoIDEA soddisfi la NIS2. In parole semplici, lontano dal gergo dei consulenti. Che cosa deriva davvero dalla direttiva e da dove può cominciare.

Che cos'è davvero la NIS2

La NIS2 è la direttiva europea sulla cybersicurezza (formalmente 2022/2555) che ha sostituito la precedente direttiva NIS del 2016. Innalza e armonizza in tutta l'Unione i requisiti di sicurezza per le aziende dei settori critici e importanti. Ogni Stato membro la recepisce nel proprio diritto nazionale e designa una propria autorità di controllo - i dettagli dell'attuazione variano da Paese a Paese.

In pratica la direttiva impone obblighi su tre livelli: gestione del rischio, notifica degli incidenti entro termini stabiliti e responsabilità personale della direzione aziendale per entrambi. È un processo continuo, da mantenere per tutta la vita dell'azienda.

A chi si applica la NIS2

In breve: alle aziende dei settori critici o importanti con 50+ dipendenti o un fatturato annuo di 10+ milioni €. Tra i settori critici rientrano energia, trasporti, banche e infrastrutture digitali. Tra i settori importanti figurano, fra gli altri, la manifattura, i fornitori di servizi digitali, i servizi postali e la gestione dei rifiuti.

Il secondo aggancio è meno evidente. Se Lei stesso resta fuori dalla NIS2, ma fornisce software, infrastruttura o servizi critici a un'azienda che vi rientra - il Suo cliente è tenuto a verificare come Lei gestisce la cybersicurezza. In pratica: nei contratti compaiono clausole che esigono da Lei gli stessi requisiti imposti al grande cliente.

Per i fornitori di medie dimensioni questo è oggi il meccanismo più rapido per essere trascinati nella NIS2. Il grande cliente non chiede se Lei desideri adeguarsi. Il grande cliente ha un ufficio compliance che ha ricevuto un piano e lo sta eseguendo.

Che cosa richiede davvero la direttiva

La NIS2 definisce i risultati richiesti e lascia a Lei la scelta della tecnologia. Dal punto di vista di una media impresa, si tratta di dieci aree da descrivere e mantenere nel tempo.

Politiche di analisi dei rischi e di sicurezza dei sistemi. Procedure di gestione e notifica degli incidenti - un preallarme entro 24 ore, una valutazione entro 72 ore, una relazione finale entro 30 giorni. Continuità operativa (backup, gestione delle crisi). Sicurezza della catena di fornitura - compresi i Suoi fornitori di software. Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi informatici. Procedure per valutare l'efficacia delle misure di gestione del rischio. Formazione del personale sull'igiene informatica. Crittografia dove ha senso. Controllo degli accessi e gestione delle identità. Autenticazione a più fattori e comunicazioni protette.

Dieci aree. Ciascuna va documentata. Ciascuna ha bisogno di un responsabile. Ciascuna deve poter essere sottoposta ad audit.

Che cosa significa in pratica per una media impresa

Per la maggior parte delle aziende con 20-250 persone, implementare la NIS2 è soprattutto un lavoro di documentazione - dal punto di vista tecnico, di solito hanno già ciò che serve. La maggior parte delle medie imprese fa già gran parte di ciò che la direttiva richiede - quello che manca è metterlo per iscritto, testarlo e rendicontarlo.

La parte più costosa di un'implementazione NIS2 è di solito un mese di lavoro per descrivere ciò che in azienda avviene già, più il primo audit, che mostra che cosa manca davvero. L'hardware è spesso la voce di costo più piccola.

Il secondo blocco di costi riguarda i Suoi fornitori. Tutti i contratti con i fornitori di sistemi, hosting e software richiederanno integrazioni contrattuali. La maggior parte dei servizi cloud standard ha già integrazioni di questo tipo nel proprio portafoglio. Un fornitore locale che dieci anni fa Le ha costruito un'applicazione probabilmente ne è sprovvisto. È proprio qui che molti clienti stanno oggi rivedendo il proprio portafoglio di fornitori.

Come costruisco in ottica NIS2

Tre decisioni architetturali che prendo fin dall'inizio di ogni progetto, perché portano comunque verso la conformità alla direttiva.

Primo - tutto ciò che costruisco gira interamente nell'infrastruttura del cliente. I Suoi dati restano sempre sui server che controlla Lei stesso. Questo risolve il problema NIS2 della catena di fornitura a livello tecnico, prima ancora che se ne discuta.

Secondo - il server registra automaticamente i log di audit: chi, quando, che cosa. A questo aggiungo qualsiasi registrazione di cui Lei abbia bisogno o che le norme richiedano. Lo stesso vale per il controllo degli accessi a livello di singolo record, oltre che sullo schermo.

Terzo - la documentazione nasce automaticamente, man mano che il sistema viene costruito. Il cliente riceve un pacchetto pronto - che in sostanza può generare da solo dal sistema in qualsiasi momento. La stessa documentazione può essere riutilizzata per preparare gli ulteriori documenti richiesti.

Ho raccolto i dettagli tecnici in una pagina dedicata alla NIS2. Se si sta preparando alla NIS2 o se il Suo cliente comincia a fare domande - mi contatti. Vedremo insieme a che punto si trova oggi e da dove può cominciare.