Requisiti NIS2: Guida alla conformità e checklist di preparazione

I requisiti NIS2 coprono 18 settori critici in tutta l'UE, imponendo controlli del rischio, segnalazione degli incidenti per fasi e responsabilità personale del consiglio di amministrazione in caso di non conformità.

Che cos'è NIS2?

La Direttiva NIS2 è la normativa di base dell'Unione europea in materia di cybersecurity per le organizzazioni che operano in settori critici e importanti. Se operi nell'UE o la servi, NIS2 è ora il tuo riferimento di base per la sicurezza e, anche se il tuo Stato membro è ancora in fase di adeguamento, dovresti già lavorare secondo il livello di base previsto dalla direttiva.

Questa urgenza non è teorica. Nel 2021, Colonial Pipeline è stata costretta a interrompere le operazioni dopo un attacco ransomware, con un comunicato del DOJ che mostra che l'azienda ha pagato circa 4,4 milioni di dollari di riscatto. NIS2 è stata progettata per questa classe di interruzioni: formalizza le aspettative di gestione del rischio, impone una segnalazione rapida e rende i fallimenti di governance un problema a livello di consiglio di amministrazione.

NIS2 è entrata in vigore nell'ottobre 2024, sostituendo la Direttiva NIS originale (2016/1148), con la pagina NIS2 della Commissione europea che la descrive come un innalzamento "del livello comune di ambizione dell'UE in materia di cybersicurezza, attraverso un ambito più ampio, regole più chiare e strumenti di vigilanza più forti". In pratica, NIS2 amplia i settori coperti, introduce tempistiche obbligatorie per la segnalazione degli incidenti e crea una responsabilità personale per il senior management.

Per capire perché questi cambiamenti sono importanti per il tuo programma di sicurezza, è utile esaminare cosa richiede nello specifico NIS2.

Quali sono i requisiti di NIS2?

I requisiti di NIS2 sono gli obblighi obbligatori di cybersecurity stabiliti dalla Direttiva NIS2 (Direttiva 2022/2555) per le organizzazioni che operano in settori critici e importanti in tutta l'UE. 

Coprono le misure di gestione del rischio ai sensi dell'Articolo 21, gli obblighi di segnalazione degli incidenti ai sensi dell'Articolo 23 e la responsabilità di governance ai sensi dell'Articolo 20. Insieme, questi requisiti creano una baseline di sicurezza vincolante che si applica a migliaia di entità in diciotto settori.

Perché i requisiti di NIS2 sono importanti per la cybersecurity?

Gli incidenti IT diventano crisi aziendali più rapidamente di quanto la maggior parte dei bilanci possa assorbire. NotPetya lo ha dimostrato nel 2017. Merck ha successivamente dichiarato circa 870 milioni di dollari di costi correlati in un deposito SEC di Merck. NIS2 esiste per evitare che questa sia la tua storia.  Devi dimostrare governance, prontezza di risposta ed efficacia dei controlli, e i revisori cercheranno prove documentate, non screenshot di configurazione.

NIS2 non è un esercizio da checklist. Impone misure specifiche di gestione del rischio di cybersecurity, richiede una segnalazione strutturata degli incidenti entro scadenze ristrette e ritiene il tuo consiglio di amministrazione personalmente responsabile per i fallimenti di supervisione.

La direttiva introduce anche una classificazione a due livelli. Le Entità Essenziali sono soggette a vigilanza proattiva (ex-ante) con audit e ispezioni. Le Entità Importanti sono soggette a vigilanza reattiva (ex-post) attivata da evidenze di non conformità. Entrambi i livelli sono soggetti a sanzioni finanziarie sostanziali e responsabilità del management.

Cosa è cambiato da NIS1 a NIS2?

Se la tua organizzazione operava ai sensi della Direttiva NIS originale, il divario tra i due framework è significativo. NIS2 non è una revisione minore. Ristruttura gli obblighi in termini di ambito, enforcement, governance e reporting.

• L'ambito è stato ampliato in modo significativo. La direttiva originale copriva sette settori: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile e infrastrutture digitali. NIS2 estende questo numero a diciotto settori, aggiungendo acque reflue, spazio, gestione dei servizi ICT, pubblica amministrazione, servizi postali, gestione dei rifiuti, prodotti chimici, produzione alimentare, manifattura e ricerca. La Commissione europea stima che NIS2 copra ora decine di migliaia di entità in tutta l'UE, rispetto a poche centinaia sotto NIS1.
• La segnalazione degli incidenti è ora armonizzata. Con NIS1, gli Stati membri stabilivano autonomamente le proprie scadenze e i propri criteri di segnalazione, producendo incoerenze oltre confine. NIS2 standardizza il processo in tre fasi: Early Warning entro 24 ore, Incident Notification entro 72 ore e Final Report entro un mese, applicato in modo uniforme in tutta l'UE.
• La responsabilità del management è una novità. NIS1 imponeva obblighi di sicurezza alle organizzazioni. NIS2 aggiunge la responsabilità personale del senior management ai sensi dell'Articolo 20, inclusa la possibilità per le autorità di vietare temporaneamente ai dirigenti di ricoprire funzioni manageriali dopo una violazione grave.
• Gli obblighi relativi alla supply chain sono una novità. NIS1 non prevedeva requisiti strutturati di sicurezza della supply chain. L'Articolo 21 ora richiede di valutare la security posture dei tuoi fornitori, le loro dipendenze e di vincolarli contrattualmente ai tuoi requisiti NIS2.
• Le sanzioni sono aumentate in modo sostanziale. NIS1 lasciava i livelli sanzionatori alla discrezionalità nazionale, creando ampie variazioni. NIS2 stabilisce soglie minime massime a livello UE: fino a 10 milioni di euro o al 2% del fatturato globale per le Entità Importanti, e fino a 7 milioni di euro o all'1,4% del fatturato globale per le Entità Essenziali, a seconda di quale importo sia maggiore in entrambi i casi. Per il dettaglio completo delle sanzioni, consulta le FAQ NIS2 della Commissione.

Quindi la prima domanda non è come conformarsi. È se rientri o meno nell'ambito di applicazione.

A chi si applica NIS2?

L'ambito di NIS2 dipende da settore, dimensione e ruolo di servizio. La direttiva utilizza due allegati per classificare le entità e soglie dimensionali per determinare se rientrano nell'ambito per impostazione predefinita.

• Entità Essenziali (Allegato I) operano in settori altamente critici: energia (elettricità, petrolio, gas, idrogeno, teleriscaldamento), trasporti (aereo, ferroviario, marittimo, stradale), banche e infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali (provider DNS, registri TLD, cloud provider, data center, CDN, prestatori di servizi fiduciari, reti di comunicazione elettronica), gestione dei servizi ICT (managed service provider e managed security service provider), pubblica amministrazione e spazio.
• Entità Importanti (Allegato II) operano in altri settori critici: servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, produzione e distribuzione alimentare, fabbricazione di dispositivi medici, computer, elettronica, macchinari, veicoli a motore e altre attrezzature di trasporto, fornitori digitali (marketplace online, motori di ricerca online, social network) e organizzazioni di ricerca.
• Le soglie dimensionali si applicano nella maggior parte dei casi. Le organizzazioni con 50 o più dipendenti o 10 milioni di euro o più di fatturato annuo che operano in un settore coperto rientrano nell'ambito per impostazione predefinita. Le medie e grandi imprese generalmente non hanno un'esenzione automatica. Tuttavia, anche le organizzazioni più piccole possono essere designate come Essenziali o Importanti se sono l'unico fornitore di un servizio critico nel proprio Stato membro, se la loro interruzione avrebbe un impatto transfrontaliero significativo o se un'autorità nazionale determina che rappresentano un rischio sistemico. Consulta le FAQ NIS2 del NCSC Ireland per una guida pratica ai criteri dimensionali.
• Le organizzazioni non UE non sono automaticamente esenti. Se fornisci servizi che rientrano nell'ambito nell'UE, anche se hai sede al di fuori di essa, potresti dover designare un rappresentante in uno Stato membro e conformarti alla legge nazionale di recepimento NIS2 di quello Stato. Conferma la tua posizione con la competente autorità nazionale di riferimento.

Una volta definiti ambito e classificazione, inizia il vero lavoro. Ecco cosa richiede NIS2.

Requisiti chiave di sicurezza NIS2

I requisiti NIS2 si suddividono in tre pilastri fondamentali: misure di sicurezza obbligatorie, segnalazione degli incidenti ed enforcement. Ognuno influisce direttamente su come strutturi il tuo programma di sicurezza.

Misure di sicurezza obbligatorie (Articolo 21)

Ogni entità coperta deve implementare misure di gestione del rischio di cybersecurity proporzionate alla propria esposizione al rischio, dimensione e impatto sociale. I requisiti dell'Articolo 21 si raggruppano in alcuni temi operativi:

• Governance e assurance: analisi del rischio, policy di sicurezza e valutazione continua dell'efficacia, così da poter dimostrare che i controlli funzionano, con evidenze che i regolatori possano esaminare.
• Resilienza operativa: gestione degli incidenti e continuità operativa, inclusi backup e disaster recovery, allineati al tuo processo di incident response.
• Ingegneria e comunicazioni sicure: sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, oltre a policy di crittografia e cifratura e comunicazioni sicure.
• Persone, accessi e terze parti: igiene cyber di base e formazione (incluso il management), controllo degli accessi e gestione degli asset, sicurezza dei fornitori (inclusa l'esposizione agli attacchi alla supply chain) e autenticazione forte come l' autenticazione a più fattori.

Queste misure sono volutamente ampie. NIS2 non prescrive tecnologie specifiche, ma solo risultati proporzionati; tuttavia, chi è responsabile del loro raggiungimento non è lasciato all'interpretazione.

Responsabilità del management (Articolo 20)

Il tuo organo di gestione deve approvare le misure di cybersecurity, supervisionarne l'implementazione e completare una formazione sulla cybersecurity. Questi compiti non possono essere delegati. Secondo l' analisi NIS2 di DLA Piper, il senior management "può essere ritenuto personalmente responsabile per violazioni dei propri doveri ai sensi della Direttiva."

Questo è il “cosa”. Le sezioni successive trattano il “come”: segnalazione degli incidenti, governance, obblighi relativi alla supply chain ed enforcement.

Requisiti di segnalazione degli incidenti ai sensi di NIS2

L'Articolo 23 stabilisce un processo obbligatorio di segnalazione in tre fasi, con il conteggio del tempo che inizia quando vieni a conoscenza di un incidente, non quando l'incidente si è verificato.

• Fase 1: Early Warning. Entro un giorno, invii una classificazione iniziale, indichi se l'incidente sembra derivare da atti illeciti o malevoli, valuti il potenziale impatto transfrontaliero e fornisci i dettagli di contatto per il coordinamento.
• Fase 2: Incident Notification. Entro tre giorni, fornisci un'analisi aggiornata di gravità e impatto, gli indicatori di compromissione (IoC) ove disponibili, i sistemi e i servizi interessati e il metodo di identificazione con relativo timestamp.
• Fase 3: Final Report. Entro un mese, fornisci un'analisi della causa radice, la descrizione delle misure di risposta applicate e in corso e una valutazione dell'impatto transfrontaliero.

Un "incidente significativo" ai sensi dell'Articolo 23(3) è un incidente che ha causato o è in grado di causare una grave interruzione operativa, una perdita finanziaria o perdite materiali o immateriali ad altre persone. La soglia "in grado di causare" significa che devi valutare l'impatto potenziale, non solo il danno confermato. Il mancato rispetto di qualsiasi fase di questa catena di segnalazione ti espone ad azioni di vigilanza.

Gli obblighi di segnalazione stabiliscono cosa devi comunicare dopo un incidente. I requisiti di governance riportati di seguito definiscono chi è responsabile di prevenire tali incidenti in primo luogo.

Requisiti di governance e responsabilità

L'Articolo 20 attribuisce la governance della cybersecurity direttamente al tuo organo di gestione. I membri del consiglio di amministrazione e i dirigenti senior devono approvare le misure di gestione del rischio di cybersecurity della tua organizzazione e supervisionarne attivamente l'implementazione. Queste responsabilità sono personali e non possono essere delegate.

1. Formazione obbligatoria del management. Ogni membro del tuo organo di gestione deve completare una formazione sulla cybersecurity. L'Articolo 20(2) specifica che la formazione deve essere sufficiente per identificare i rischi, valutare le pratiche di gestione del rischio di cybersecurity e valutarne l'impatto sui servizi forniti dalla tua organizzazione. Non si tratta di un requisito una tantum di onboarding. La formazione deve tenere il passo con l'evoluzione del tuo contesto di rischio e i regolatori possono verificare i registri di completamento durante gli audit.
2. Responsabilità personale per i fallimenti di supervisione. Se un incidente di cybersecurity è riconducibile a una governance insufficiente, le autorità nazionali possono ritenere responsabili i singoli dirigenti. Le sanzioni includono multe amministrative, divulgazione pubblica della violazione e, per le Entità Essenziali, un divieto temporaneo di esercitare funzioni manageriali. Hogan Lovells osserva che NIS2 "eleva la cyber resilience a una questione di governance aziendale e responsabilità personale a livello di consiglio di amministrazione."
3. Evidenza documentata della supervisione. Un programma di sicurezza che opera interamente all'interno del tuo reparto IT, senza una traccia visibile di governance a livello esecutivo, non soddisferà un revisore. I regolatori si aspettano di vedere:

• Policy di sicurezza approvate dal consiglio di amministrazione con firmatari nominativi e date di approvazione
• Decisioni documentate sul trattamento del rischio che mostrino come i rischi residui siano stati accettati o affrontati
• Registrazioni di cicli di revisione regolari che dimostrino che le policy vengono aggiornate e non sono statiche
• Decisioni di allocazione delle risorse che colleghino budget e personale ai rischi identificati

Collega ciascuno di questi artefatti a persone nominate e date. Se non puoi produrre queste evidenze su richiesta, i tuoi controlli sono di fatto non documentati.

La responsabilità di governance stabilisce la catena interna delle responsabilità. NIS2 estende tale responsabilità verso l'esterno attraverso i requisiti di sicurezza della supply chain.

Requisiti NIS2 per la sicurezza della supply chain

L'Articolo 21(2)(d) richiede di valutare e gestire i rischi di sicurezza nella tua supply chain, inclusi i tuoi fornitori diretti e i service provider. NIS2 tratta il rischio di terze parti come un tuo rischio: se una debolezza di un fornitore causa una violazione nel tuo ambiente, l'obbligo di conformità resta comunque a tuo carico.

Criteri di valutazione dei fornitori. La tua valutazione deve andare oltre i questionari superficiali. NIS2 si aspetta che tu consideri le vulnerabilità specifiche di ciascun fornitore, la qualità complessiva dei suoi prodotti e le sue pratiche di cybersecurity, le giurisdizioni in cui opera e le dipendenze della supply chain del fornitore stesso. 

Requisiti contrattuali di sicurezza. Gli accordi con i fornitori devono includere clausole di sicurezza allineate a NIS2. Come minimo, i contratti dovrebbero coprire:

• Obblighi di notifica degli incidenti affinché tu possa rispettare le tue scadenze di segnalazione
• Diritti di audit che ti consentano di verificare i controlli di sicurezza del fornitore
• Accordi sul livello di servizio collegati alle prestazioni di sicurezza
• Clausole di risoluzione per non conformità persistente

Queste clausole trasformano le tue aspettative di conformità in impegni esecutivi anziché in intese informali.

Trasparenza del software. Per i componenti software critici, mantieni software bill of materials (SBOM) che documentino i componenti e le dipendenze all'interno del software fornito dai tuoi fornitori. Gli SBOM ti offrono visibilità sulle vulnerabilità che emergono dopo il deployment e supportano una valutazione dell'impatto più rapida durante gli incidenti.

Diversificazione e continuità. NIS2 si aspetta inoltre che tu valuti il rischio di concentrazione. Se il fallimento di un singolo fornitore potrebbe interrompere un servizio critico, documenta il tuo piano di continuità e, ove fattibile, identifica fornitori alternativi. L'obiettivo è la resilienza, non solo la conformità.

Gli obblighi relativi alla supply chain definiscono il perimetro esterno del tuo programma di conformità. I meccanismi di enforcement riportati di seguito stabiliscono cosa accade quando qualsiasi parte di quel programma non è all'altezza.

Requisiti NIS2 di enforcement e sanzioni

NIS2 non si basa sulle buone intenzioni. Impone la conformità attraverso poteri di vigilanza, sanzioni finanziarie e responsabilità personale.

Poteri di vigilanza

Le Entità Essenziali sono soggette a vigilanza proattiva ai sensi dell'Articolo 32. Le autorità possono condurre ispezioni in loco, audit casuali e ad hoc, scansioni di sicurezza e richieste di evidenze. Possono inoltre emettere istruzioni vincolanti, ordinare la divulgazione pubblica delle violazioni e vietare temporaneamente ad amministratori delegati o rappresentanti legali di esercitare funzioni manageriali.

Le Entità Importanti sono soggette a vigilanza reattiva ai sensi dell'Articolo 33, attivata da evidenze o indicazioni di non conformità. Sono soggette alle stesse strutture sanzionatorie ma non sono esposte ad audit casuali proattivi. In entrambi i casi, le conseguenze finanziarie sono sostanziali.

Strutture sanzionatorie

Le sanzioni NIS2 sono calcolate sulla base di un tetto fisso o di una percentuale del fatturato globale, a seconda di quale importo sia maggiore, con soglie più elevate per le Entità Essenziali rispetto alle Entità Importanti. Per l'inquadramento completo delle sanzioni da parte della Commissione, consulta le FAQ NIS2 della Commissione.

La responsabilità del management va oltre le multe. Hogan Lovells osserva che NIS2 "eleva la cyber resilience a una questione di governance aziendale e responsabilità personale a livello di consiglio di amministrazione."

Nessuna autorità ha ancora segnalato casi pubblici di enforcement NIS2, ma il testo della direttiva rende chiari lo standard atteso e gli strumenti di vigilanza. Comprendere questo framework non basta da solo. I modi in cui la maggior parte delle organizzazioni non è all'altezza sono prevedibili, e ognuno di essi è evitabile.

Sfide comuni nel soddisfare i requisiti NIS2

La Direttiva è abbastanza chiara nella lettura. È nell'implementazione che le organizzazioni inciampano. Questi sono gli errori che più spesso ostacolano le entità essenziali e importanti, e nessuno di essi è difficile da evitare.

• Trattare NIS2 come un esercizio esclusivamente tecnico. NIS2 richiede un cambiamento organizzativo. L'Articolo 20 richiede approvazione del consiglio di amministrazione, formazione del management e responsabilità documentata. I regolatori cercheranno evidenze di governance in tutte queste dimensioni.
• Condurre valutazioni del rischio una tantum. Una singola valutazione del rischio è in conflitto con il requisito di valutazione continua dell'efficacia ai sensi dell'Articolo 21. Hai bisogno di revisioni permanenti del rischio nella tua agenda di governance a intervalli regolari, con aggiornamenti documentati ai piani di trattamento del rischio.
• Fermare la due diligence della supply chain ai fornitori diretti. NIS2 richiede di valutare le dipendenze della supply chain dei tuoi fornitori, creando obblighi relativi al rischio di quarta parte. Secondo la guida all'implementazione di ENISA, "i rischi per i sistemi di rete e informazione forniti da terze parti… restano responsabilità dell'entità stessa."
• Mantenere una documentazione insufficiente. I controlli che esistono ma non possono essere dimostrati durante un audit sono di fatto inesistenti. Collega ogni voce del registro dei rischi a controlli, assegnazioni ed evidenze. Prepara una narrativa di conformità pronta per l'audit prima che i regolatori la richiedano.
• Sottovalutare la finestra di segnalazione di un giorno. L'Early Warning richiede l'invio prima che la valutazione completa dell'impatto sia conclusa. Se i tuoi workflow di incident response non riescono a classificare rapidamente la significatività dopo la presa di conoscenza, mancherai la scadenza o invierai informazioni inaccurate, entrambe situazioni che creano esposizione regolatoria.

La maggior parte di questi errori condivide una causa radice: trattare NIS2 come un progetto anziché come un programma. La checklist seguente ti offre un modo strutturato per costruirlo come il secondo.

Checklist di implementazione dei requisiti NIS2

Questa checklist in otto fasi deriva dalla guida all'implementazione di ENISA.

Fase 1: Analisi dell'ambito e gap analysis

• Determina la classificazione della tua entità (essenziale o importante) utilizzando gli Allegati I e II
• Calcola il numero di dipendenti utilizzando le Annual Work Units, non il semplice headcount
• Mappa tutte le controllate e le business unit ai settori coperti da NIS2
• Valuta la tua postura attuale rispetto ai requisiti dell'Articolo 21
• Documenta la logica alla base della determinazione del tuo ambito

Fase 2: Governance e framework di policy

• Assegna la responsabilità della cybersecurity a livello di consiglio di amministrazione con accountability documentata
• Stabilisci meccanismi di reporting regolari verso il senior management
• Crea o aggiorna la tua policy di sicurezza delle informazioni allineata all'Articolo 21
• Sviluppa procedure di incident response conformi alle tempistiche dell'Articolo 23
• Documenta l'approvazione formale da parte del consiglio di amministrazione delle misure di gestione del rischio di cybersecurity

Fase 3: Implementazione dei controlli tecnici

• Distribuisci controlli di accesso basati sui principi del privilegio minimo
• Implementa l'autenticazione a più fattori (MFA) o l'autenticazione continua nei sistemi critici
• Implementa la cifratura per i dati sensibili at rest e in transit
• Stabilisci un monitoraggio continuo della sicurezza su tutti i sistemi critici
• Mantieni audit trail che colleghino le decisioni di sicurezza alle valutazioni del rischio

Fase 4: Sicurezza della supply chain

• Inventaria tutti i fornitori diretti e i service provider
• Valuta i fornitori rispetto ai criteri di valutazione NIS2 (giurisdizione, conformità, proprietà, continuità, diversificazione)
• Valuta le dipendenze della supply chain dei fornitori stessi
• Aggiorna i contratti per includere requisiti di sicurezza NIS2 e SLA
• Includi notifica degli incidenti, diritti di audit e clausole di risoluzione negli accordi con i fornitori
• Mantieni software bill of materials (SBOM) per i componenti software critici

Fase 5: Formazione e awareness

• Fornisci formazione NIS2 ai membri del consiglio di amministrazione che copra gli obblighi dell'Articolo 20 e la responsabilità personale
• Implementa programmi di awareness basati sui ruoli per tutti i dipendenti

Fase 6: Preparazione alla risposta agli incidenti

• Stabilisci la capacità di notifica iniziale entro un giorno
• Predefinisci relazioni con il tuo Computer Security Incident Response Team (CSIRT) nazionale
• Prepara template per tutte e tre le fasi di notifica
• Testa regolarmente le procedure con esercitazioni tabletop

Fase 7: Monitoraggio continuo e miglioramento

• Conduci audit interni periodici con personale qualificato
• Collega ogni riga del registro dei rischi a controlli, assegnazioni ed evidenze
• Monitora i feed di threat intelligence e aggiorna di conseguenza le valutazioni del rischio

Fase 8: Considerazioni sugli ambienti OT (se applicabile)

• Definisci una governance cyber separata per gli asset OT
• Implementa la segmentazione di rete tra ambienti IT e OT
• Includi clausole di conformità NIS2 nei contratti con i fornitori OT

Lavorare sistematicamente su ciascuna fase costruisce una base conforme. Le pratiche riportate di seguito ti aiutano a mantenerla nel tempo.

Best practice per soddisfare i requisiti NIS2

• Allineati prima ai framework esistenti. Se già mantieni controlli ISO 27001 o NIST CSF, mappali ai requisiti dell'Articolo 21 di NIS2. La sovrapposizione è sostanziale. La gap analysis procede più rapidamente partendo da una baseline consolidata che da una pagina bianca.
• Costruisci il tuo workflow di segnalazione degli incidenti prima di averne bisogno. Identifica ora la tua autorità nazionale competente e il CSIRT. Prepara in anticipo template per tutte e tre le fasi di reporting ed esegui esercitazioni tabletop per testare classificazione e invio rapidi.
• Usa la responsabilità del management come leva strategica. Le disposizioni dell'Articolo 20 sulla responsabilità personale creano urgenza a livello di consiglio di amministrazione. Presenta la tua roadmap di conformità in termini di esposizione al rischio: quantifica quanto costa la non conformità rispetto a ciò che richiede il tuo programma di sicurezza. Il consiglio di amministrazione non può delegare l'approvazione delle misure di cybersecurity ai sensi dell'Articolo 20. Questo singolo fatto normativo è spesso il tuo strumento più forte per ottenere budget e priorità.

Queste pratiche si scalano solo con strumenti che tengano il passo con le richieste di monitoraggio continuo di NIS2. È qui che la piattaforma giusta dimostra il proprio valore, con audit trail integrati, non aggiunti successivamente.

Come SentinelOne supporta i requisiti NIS2

NIS2 ti chiede tre cose, senza interruzione: monitorare continuamente, classificare rapidamente gli incidenti e dimostrare che i tuoi controlli funzionano davvero. Uno sforzo manuale distribuito su decine di strumenti scollegati non può sostenere questo ritmo. La SingularityTM Platform di SentinelOne consolida la sicurezza di endpoint, identità e cloud in un'unica console, offrendoti visibilità in tempo reale e capacità di risposta autonoma che si allineano direttamente ai tuoi obblighi NIS2.

• Monitoraggio continuo e valutazione dell'efficacia (Articolo 21). La Singularity Platform esegue Behavioral AI sempre attiva su ogni agente. Rileva le minacce in base al comportamento, prima ancora che esista una signature. 
• Gestione e reporting degli incidenti (Articoli 21 e 23). La tecnologia Storyline unisce la telemetria di endpoint, workload cloud e identità in un'unica timeline di attacco. Quando si verifica un incidente significativo, hai già a disposizione il contesto forense, gli IoC e le evidenze di impatto di cui il tuo Early Warning ha bisogno. Nessuna corsa tra una dozzina di dashboard.
• Indagini più rapide (Articolo 21). Purple AI trasforma domande in linguaggio naturale in risposte dalla tua telemetria e redige per te la narrativa dell'indagine. I primi adottanti segnalano indagini sulle minacce fino all'80% più rapide, un aspetto importante quando devi passare rapidamente da "abbiamo visto qualcosa" a una classificazione regolatoria giustificata.
• Supervisione dell'identità (Articolo 21). Singularity Identity blocca gli attacchi guidati dall'identità prima che diventino l'interruzione che finisce sui titoli dei giornali. Copre controllo degli accessi, igiene degli account e contenimento degli incidenti.
• Continuità operativa e ripristino (Articolo 21). Il rollback con 1 clic di SentinelOne annulla la cifratura ransomware e ripristina gli endpoint a uno stato precedente all'infezione, supportando gli obiettivi di recovery senza fare affidamento esclusivamente sui workflow di ripristino da backup.

Prenota una demo di SentinelOne per vedere come ogni funzionalità si allinea al tuo programma NIS2, controllo per controllo.

Punti chiave

NIS2 è già in vigore, qualunque sia la fase di recepimento raggiunta dal tuo Stato membro. Definisce misure di sicurezza precise ai sensi dell'Articolo 21, impone una segnalazione degli incidenti rapida e articolata in fasi e attribuisce responsabilità personali al senior management. 

Le entità essenziali sostengono anche il peso aggiuntivo della vigilanza proattiva, inclusi audit e ispezioni. Nulla di tutto questo si risolve con una certificazione una tantum. La conformità è continua: monitoraggio, valutazione della supply chain e governance documentata, mantenuti aggiornati. Gestiscila come un programma e diventerà un vantaggio.

FAQ

Che cos'è NIS2?

NIS2 (Direttiva 2 sulla sicurezza delle reti e dei sistemi informativi) è una normativa dell'UE che stabilisce requisiti di cybersecurity per le organizzazioni che operano in settori critici come energia, trasporti, sanità e infrastrutture digitali. 

Ha sostituito la direttiva NIS originale nell'ottobre 2024, ampliando l'ambito delle entità coperte, introducendo tempistiche obbligatorie per la segnalazione degli incidenti e creando responsabilità personale per l'alta dirigenza. Le organizzazioni devono implementare misure definite di gestione del rischio ai sensi dell'Articolo 21 e segnalare gli incidenti significativi entro 24 ore dal momento in cui ne vengono a conoscenza.

Quando si applicano i requisiti NIS2?

I requisiti NIS2 sono diventati applicabili il 17 ottobre 2024, quando è scaduto il termine di recepimento della direttiva per tutti gli Stati membri dell'UE. Anche laddove la legislazione nazionale di recepimento sia ancora in fase di finalizzazione, la base della direttiva è stabilita e le autorità di regolamentazione si aspettano che i soggetti interessati adeguino di conseguenza i propri programmi di sicurezza. 

Le organizzazioni che rientrano nell'ambito di applicazione dovrebbero già implementare le misure di gestione del rischio di cui all'Articolo 21, sviluppare le capacità di segnalazione previste dall'Articolo 23 e documentare le decisioni di governance ai sensi dell'Articolo 20.

Quali sono i requisiti chiave di NIS2?

NIS2 impone tre categorie di obblighi per i soggetti interessati:

1. Misure proporzionate di gestione del rischio di cybersecurity che coprono analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della supply chain, controllo degli accessi, crittografia e valutazione continua dell’efficacia (Articolo 21). 
2. Segnalazione degli incidenti in più fasi: un Early Warning entro 24 ore, una Incident Notification entro 72 ore e un Final Report entro un mese (Articolo 23).
3. Gli organi di gestione sono tenuti ad approvare, supervisionare e ricevere formazione sulle misure di cybersecurity, con responsabilità personale in caso di carenze nella supervisione (Articolo 20).

NIS2 si applica alle organizzazioni al di fuori dell'UE?

Sì, se fornisci servizi nell'UE, potresti rientrare nell'ambito di applicazione anche se hai la sede centrale altrove. Ciò che conta è se operi o fornisci servizi coperti in uno Stato membro e soddisfi i criteri di settore e dimensionali, inclusi determinati ruoli di fornitore. 

Se non sei sicuro, documenta le tue ipotesi di perimetrazione e conferma le aspettative con l'autorità nazionale competente presso cui eroghi il servizio.

In che modo NIS2 differisce dal GDPR nella segnalazione degli incidenti?

NIS2 utilizza un framework articolato in fasi incentrato sull'interruzione operativa e sull'impatto sui servizi. GDPR richiede la notifica delle violazioni dei dati personali alla tua Autorità per la protezione dei dati entro una scadenza separata. 

Se un incidente comporta sia l'interruzione del servizio sia l'esposizione di dati personali, dovresti coordinare entrambi i percorsi di segnalazione, mantenere coerenti i fatti e preservare le prove in modo da poter giustificare la classificazione dell'incidente in ciascun regime.

Cosa succede se il mio Stato membro non ha ancora recepito NIS2?

Non dovresti aspettare. La base della direttiva è già nota e le autorità di regolamentazione si aspettano che le entità interessate si preparino mentre la legge nazionale e le linee guida vengono finalizzate. Monitora i progetti di legge nel tuo Stato membro, allinea i tuoi controlli al testo della direttiva e mantieni un registro delle modifiche di ciò che hai implementato e del perché. 

Tale documentazione ti consente di dimostrare una governance in buona fede se i requisiti cambiano leggermente durante il recepimento.

Le piccole imprese possono essere soggette ai requisiti NIS2?

In generale, le organizzazioni più piccole non rientrano nelle soglie dimensionali predefinite. Tuttavia, le autorità nazionali possono includere entità più piccole se sono gli unici fornitori di un servizio essenziale o se la loro interruzione causerebbe un impatto transfrontaliero significativo. 

Le organizzazioni al di sotto delle soglie che forniscono entità rientranti nell'ambito possono anche subire una pressione indiretta alla conformità attraverso obblighi contrattuali e valutazioni dei fornitori.

In che modo NIS2 interagisce con il regolamento DORA per le entità finanziarie?

DORA si applica come normativa specifica di settore per molte entità finanziarie e include propri requisiti di classificazione e segnalazione degli incidenti. 

Se rientri in entrambi i regimi, crea un unico flusso di lavoro integrato che mappi i trigger di segnalazione, le scadenze e i campi dati di ciascun framework. In pratica, in genere si opera secondo la tempistica più rigorosa e si adatta il contenuto di ciascuna comunicazione all'autorità destinataria.

Qual è la differenza tra i requisiti NIS2 e NIS1?

NIS2 amplia significativamente la Direttiva NIS originale in termini di ambito, applicazione, governance e reporting. NIS1 copriva sette settori; NIS2 ne copre diciotto. NIS1 consentiva agli Stati membri di stabilire le proprie tempistiche di segnalazione; NIS2 armonizza un processo in tre fasi in tutta l'UE. 

NIS2 introduce inoltre la responsabilità personale della direzione ai sensi dell'Articolo 20, valutazioni obbligatorie della sicurezza della supply chain e massimali minimi di sanzione a livello UE fino a 10 milioni di euro o al 2% del fatturato globale. NIS1 non prevedeva nessuna di queste disposizioni.