In breve: La NIS 2 (direttiva UE 2022/2555, in Italia D.Lgs. 138/2024 in vigore dal 16 ottobre 2024) si applica alle imprese medie e grandi dei settori elencati nei suoi allegati. Richiede governo del rischio da parte degli amministratori, misure di sicurezza (backup, accessi, fornitori, formazione) e la notifica degli incidenti significativi: preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese dalla notifica.
La direttiva NIS 2 (direttiva (UE) 2022/2555) alza il livello di sicurezza informatica richiesto a molte organizzazioni europee. In Italia è stata recepita con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L'autorità competente è l'Agenzia per la cybersicurezza nazionale (ACN).
Questa è una guida divulgativa e non una consulenza legale. Le scadenze e le determinazioni dell'ACN cambiano: verifica le informazioni aggiornate sul sito dell'Agenzia o con un consulente.
Chi è coinvolto
La direttiva si applica ai soggetti pubblici o privati dei settori elencati negli allegati I e II che sono medie imprese o superano i massimali delle medie imprese secondo la raccomandazione 2003/361/CE. Secondo la raccomandazione un'impresa è almeno media quando ha 50 o più addetti oppure supera i 10 milioni di euro sia di fatturato annuo sia di totale di bilancio. Per alcune attività la norma si applica a prescindere dalle dimensioni: per esempio i servizi DNS, i registri dei nomi di dominio di primo livello e i prestatori di servizi fiduciari.
Allegato I: settori ad alta criticità
Energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, spazio, pubblica amministrazione e due blocchi che interessano chi lavora nel digitale:
- Infrastrutture digitali: servizi di cloud computing, data center, reti di distribuzione dei contenuti, DNS, registri dei domini, punti di scambio internet, servizi fiduciari e comunicazioni elettroniche.
- Gestione dei servizi TIC (business to business): fornitori di servizi gestiti e di servizi di sicurezza gestiti.
Allegato II: altri settori critici
Servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione (dispositivi medici, elettronica, macchinari, veicoli), ricerca e i fornitori di servizi digitali: mercati online, motori di ricerca online e piattaforme di social network.
Soggetti essenziali e importanti
La direttiva distingue due categorie (articolo 3). Sono essenziali i soggetti dell'allegato I che superano i massimali delle medie imprese e alcune categorie sempre come DNS e registri dei domini. Sono importanti tutti gli altri soggetti degli allegati I e II, per esempio le medie imprese dell'allegato I e le medie e grandi imprese dell'allegato II. La differenza conta per i controlli e per le sanzioni.
Cosa richiede la norma
Governo del rischio (articolo 20)
Gli organi di gestione approvano le misure di gestione del rischio, sovrintendono alla loro attuazione e possono essere ritenuti responsabili in caso di violazione. I loro membri devono seguire una formazione. Non è un tema da delegare solo al reparto informatico.
Misure di sicurezza (articolo 21)
Misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multirischio. Includono almeno:
- politiche di analisi dei rischi e di sicurezza dei sistemi;
- gestione degli incidenti;
- continuità operativa come la gestione dei backup e il ripristino in caso di disastro;
- sicurezza della catena di approvvigionamento e dei rapporti con i fornitori;
- sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
- strategie per valutare l'efficacia delle misure;
- igiene informatica di base e formazione;
- uso della crittografia dove serve;
- sicurezza delle risorse umane, controllo degli accessi e gestione degli asset;
- autenticazione a più fattori o continua e comunicazioni protette se del caso.
Notifica degli incidenti (articolo 23)
Un incidente è significativo se ha causato o può causare una grave perturbazione operativa o perdite finanziarie. Lo è anche se ha colpito altre persone causando perdite materiali o immateriali considerevoli. Le tappe:
- Preallarme entro 24 ore da quando si viene a conoscenza dell'incidente.
- Notifica dell'incidente entro 72 ore, con valutazione iniziale di gravità e impatto.
- Relazione intermedia su richiesta dell'autorità.
- Relazione finale entro un mese dalla trasmissione della notifica.
Sicurezza della catena di fornitura
Chi è coinvolto deve valutare i rischi dei propri fornitori diretti, comprese le loro pratiche di sicurezza e di sviluppo sicuro. Il punto tocca molto le piccole aziende che forniscono servizi digitali a soggetti inclusi.
Se sei un fornitore
Anche se non rientri direttamente un cliente incluso può chiederti:
- un questionario sulle tue misure di sicurezza;
- clausole contrattuali su notifica degli incidenti, aggiornamenti e backup;
- prove su gestione degli accessi e dei dati;
- audit o verifiche periodiche.
Sanzioni
La direttiva prevede (articolo 34) sanzioni pecuniarie fino ad almeno 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali e fino ad almeno 7 milioni di euro o l'1,4% per i soggetti importanti, in entrambi i casi se l'importo è superiore. Sono previsti anche poteri di vigilanza e ispezione.
Primi passi sensati
- Capisci la tua posizione. Verifica i settori e le dimensioni e controlla le comunicazioni dell'ACN. Verifica se un tuo cliente è incluso.
- Elenca sistemi e dati importanti e chi vi accede.
- Controlla le basi: aggiornamenti, backup provati, autenticazione a due fattori, accessi dei collaboratori.
- Scrivi una procedura per gli incidenti con nomi, numeri e le tappe da 24 e 72 ore.
- Rivedi i contratti con i fornitori e prepara le risposte per i clienti.
- Documenta tutto. In caso di controllo ciò che non è scritto non esiste.
Approfondimenti: ransomware: come ridurre il rischio · password e autenticazione a due fattori · Cyber Resilience Act · presidio e manutenzione
Domande frequenti
Cos'è la direttiva NIS 2?
È la direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi. In Italia è stata recepita con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L'autorità competente è l'Agenzia per la cybersicurezza nazionale (ACN).
La NIS 2 riguarda le piccole imprese?
In generale si applica ai soggetti dei settori elencati negli allegati che sono medie imprese o superano i massimali delle medie imprese. Alcune attività come i servizi DNS e i registri dei nomi di dominio, rientrano a prescindere dalle dimensioni. Una piccola impresa può comunque ricevere richieste contrattuali da clienti inclusi.
Entro quanto tempo va notificato un incidente significativo?
Un preallarme entro 24 ore da quando se ne ha conoscenza, una notifica con la valutazione iniziale entro 72 ore e una relazione finale entro un mese dalla trasmissione della notifica (articolo 23 della direttiva).
Quali sono le sanzioni?
La direttiva prevede per i soggetti essenziali sanzioni fino ad almeno 10 milioni di euro o al 2% del fatturato mondiale annuo se superiore. Per i soggetti importanti fino ad almeno 7 milioni di euro o all'1,4% se superiore (articolo 34). Il decreto italiano recepisce questi massimali.
I fornitori di servizi IT sono coinvolti?
Sì. L'allegato I include tra i settori ad alta criticità i fornitori di servizi gestiti e di servizi di sicurezza gestiti, i servizi di cloud computing, i data center e le reti di distribuzione dei contenuti. Gli e-commerce sono coinvolti se rientrano tra i fornitori di mercati online dell'allegato II e se hanno le dimensioni previste.