Che cos'è NIS2? Spiegazione della Direttiva UE sulla Cybersecurity

NIS2 richiede alle organizzazioni dell'UE in 18 settori critici di implementare 10 misure di cybersecurity, segnalare gli incidenti entro 24 ore e affrontare sanzioni fino a 10 milioni di euro.

Che cos'è NIS2?

Che cos'è NIS2? NIS2 (Direttiva (UE) 2022/2555) stabilisce requisiti obbligatori di cybersecurity in tutta l'UE, imponendo agli Stati membri di rafforzare le capacità e implementare misure di gestione del rischio nei settori critici. La direttiva NIS2 amplia la copertura rispetto alla direttiva NIS originale a 18 settori critici, tra cui energia, trasporti, banche, sanità, infrastrutture digitali, manifatturiero e pubblica amministrazione.

Il tuo consiglio di amministrazione ti ha appena chiesto se sei pronto per NIS2. Hai controllato il calendario. La scadenza per il recepimento del 17 ottobre 2024 è già passata. Non sei solo: 23 Stati membri dell'UE hanno affrontato procedure di infrazione per aver mancato quella scadenza.

Attacchi recenti dimostrano perché NIS2 dell'UE è importante. Nel maggio 2021, il Servizio Sanitario Irlandese ha subito un attacco ransomware Conti che ha costretto alla cancellazione dell'80% degli appuntamenti ambulatoriali e ha comportato oltre 100 milioni di euro di costi di ripristino. L'attacco NotPetya del 2017 ha interrotto le operazioni di spedizione globali di Maersk, distruggendo 45.000 PC e 4.000 server e causando danni per 300 milioni di dollari. L'incidente ransomware di Colonial Pipeline nel 2021 ha interrotto le forniture di carburante lungo la costa orientale degli Stati Uniti, con un pagamento di riscatto di 4,4 milioni di dollari. L'UE impone una governance di cybersecurity più forte secondo NIS2 sulle infrastrutture critiche in risposta a incidenti come questi.

Il BSI tedesco ha confermato che circa 29.500 entità rientrano in NIS2, mentre la Francia ne ha identificate oltre 10.000. Sei soggetto se la tua organizzazione opera in un settore coperto e soddisfa queste soglie: 50 o più dipendenti OPPURE oltre 10 milioni di euro di fatturato annuo. Le piccole e micro imprese con meno di 50 dipendenti E 10 milioni di euro o meno di fatturato annuo sono generalmente escluse, a meno che non siano designate come critiche ai sensi della Direttiva sulla Resilienza delle Entità Critiche (CER).

NIS2 introduce un sistema di classificazione duale che determina il carico regolatorio. Le entità essenziali operano in 11 settori altamente critici tra cui energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT (B2B), pubblica amministrazione e spazio. Le entità importanti operano in altri 7 settori critici tra cui servizi postali e di corriere, gestione dei rifiuti, chimica, produzione alimentare, manifatturiero, fornitori digitali e organizzazioni di ricerca.

L'Articolo 20 rende gli organi di gestione personalmente responsabili dell'approvazione delle misure di cybersecurity, della supervisione dell'implementazione e della formazione. Non è possibile delegare la responsabilità verso l'alto né invocare la mancanza di conoscenze tecniche come difesa. Questi requisiti di responsabilità rappresentano una significativa novità rispetto alla direttiva originale.

NIS2 vs. NIS1: cosa è cambiato

La direttiva NIS originale del 2016 copriva circa 7 settori e lasciava agli Stati membri ampia discrezionalità nell'implementazione. Questa flessibilità ha creato un panorama normativo frammentato in cui organizzazioni identiche affrontavano requisiti diversi a seconda del paese di operatività. Il regolamento NIS2 affronta queste carenze attraverso cambiamenti strutturali fondamentali.

L'ampliamento dell'ambito rappresenta il cambiamento più visibile. NIS2 copre 18 settori rispetto alla copertura limitata di NIS1, includendo manifatturiero, produzione alimentare, gestione dei rifiuti, servizi postali e pubblica amministrazione tra i requisiti obbligatori. La direttiva introduce anche soglie dimensionali chiare (oltre 50 dipendenti o oltre 10 milioni di euro di fatturato) che eliminano ambiguità sull'applicabilità.

L'enforcement è stato completamente rivisto. NIS1 mancava di sanzioni armonizzate, con conseguenze incoerenti tra gli Stati membri. NIS2 stabilisce soglie minime di sanzione (10 milioni di euro o 2% del fatturato per le entità essenziali) e conferisce alle autorità di vigilanza poteri espliciti di sospensione dei dirigenti in caso di mancata conformità. La direttiva introduce anche la responsabilità personale degli organi di gestione, una previsione del tutto assente in NIS1.

I tempi di segnalazione degli incidenti sono stati notevolmente ridotti. NIS1 richiedeva la notifica "senza indebito ritardo" senza una tempistica specifica. NIS2 impone un preavviso entro 24 ore, una notifica dettagliata entro 72 ore e una relazione finale entro un mese con requisiti di contenuto definiti. Questo riepilogo della direttiva NIS2 evidenzia l'orientamento verso una maggiore responsabilità e una risposta più rapida.

Chi deve conformarsi a NIS2?

La conformità a NIS2 è obbligatoria per le organizzazioni che operano in settori coperti e soddisfano specifiche soglie dimensionali. La direttiva si applica alle organizzazioni medie e grandi definite come entità con 50 o più dipendenti OPPURE fatturato annuo superiore a 10 milioni di euro. Le organizzazioni che soddisfano una delle due soglie in un settore coperto rientrano nei requisiti NIS2.

Le piccole e micro imprese con meno di 50 dipendenti E fatturato annuo pari o inferiore a 10 milioni di euro sono generalmente esentate. Tuttavia, alcune entità sono soggette a conformità obbligatoria indipendentemente dalle dimensioni. Queste includono fornitori di reti pubbliche di comunicazione elettronica, fornitori di servizi fiduciari, registri di nomi di dominio di primo livello, fornitori di servizi DNS ed entità designate come critiche ai sensi della Direttiva CER.

Gli Stati membri mantengono l'autorità di designare ulteriori entità come essenziali o importanti sulla base di valutazioni di criticità. L'autorità nazionale competente pubblica elenchi ufficiali di entità che determinano in modo definitivo l'ambito per la tua giurisdizione. Il BSI tedesco, l'ANSSI francese e le autorità equivalenti negli altri Stati membri gestiscono portali di registrazione dove è possibile verificare lo stato di classificazione.

Le organizzazioni multi-giurisdizionali affrontano ulteriore complessità. Se operi in più Stati membri dell'UE, devi conformarti a NIS2 in ogni giurisdizione in cui fornisci servizi nei settori coperti. La direttiva stabilisce meccanismi di cooperazione tra le autorità nazionali per coordinare la supervisione delle entità transfrontaliere.

Ambito NIS2 e settori coperti

NIS2 organizza i settori coperti in due categorie che determinano l'intensità della supervisione e l'esposizione alle sanzioni. Le entità essenziali operano in 11 settori altamente critici mentre le entità importanti operano in altri 7 settori critici.

I settori delle entità essenziali includono:

• Energia (elettricità, petrolio, gas, idrogeno, teleriscaldamento e teleraffrescamento)
• Trasporti (aereo, ferroviario, marittimo, stradale)
• Banche
• Infrastrutture dei mercati finanziari
• Sanità (fornitori di servizi sanitari, laboratori di riferimento UE, produttori di dispositivi medici, farmaceutica)
• Fornitura e distribuzione di acqua potabile
• Raccolta, smaltimento e trattamento delle acque reflue
• Infrastrutture digitali (punti di interscambio internet, fornitori DNS, registri TLD, cloud computing, data center, CDN, servizi fiduciari, comunicazioni elettroniche pubbliche)
• Gestione dei servizi ICT (fornitori di servizi gestiti B2B e fornitori di servizi di sicurezza gestiti)
• Pubblica amministrazione (enti governativi centrali)
• Spazio (operatori di infrastrutture terrestri a supporto di servizi spaziali)

I settori delle entità importanti includono:

• Servizi postali e di corriere
• Gestione dei rifiuti
• Chimica (produzione, lavorazione, distribuzione)
• Produzione, trasformazione e distribuzione alimentare
• Manifatturiero (dispositivi medici, computer, elettronica, macchinari, veicoli a motore, attrezzature di trasporto)
• Fornitori digitali (marketplace online, motori di ricerca, piattaforme di social networking)
• Organizzazioni di ricerca

Questo approccio basato sui settori garantisce che i requisiti di cybersecurity NIS2 siano proporzionati all'impatto potenziale sulla società, fornendo al contempo chiarezza normativa per la determinazione dell'ambito.

Sanzioni ed enforcement NIS2

La direttiva NIS2 trasforma la cybersecurity da funzione tecnica a obbligo di governance a livello di consiglio di amministrazione con conseguenze applicabili. Le entità essenziali sono soggette a sanzioni amministrative fino a 10 milioni di euro o almeno il 2% del fatturato annuo mondiale totale, a seconda di quale importo sia superiore. Le entità importanti sono soggette a sanzioni massime di 7 milioni di euro o almeno l'1,4% del fatturato, a seconda di quale importo sia superiore.

Le autorità nazionali competenti dispongono di ampi poteri di enforcement che vanno ben oltre le sanzioni pecuniarie. Secondo l'Articolo 29, le autorità di vigilanza possono:

• Emettere avvertimenti in caso di non conformità
• Emettere ordini vincolanti di conformità che richiedono specifiche misure di cybersecurity
• Emettere istruzioni vincolanti sull'implementazione delle misure di gestione del rischio
• Imporre audit di sicurezza a carico delle entità
• Stabilire scadenze per l'implementazione delle azioni correttive

Questi meccanismi di enforcement garantiscono che le organizzazioni prendano sul serio gli obblighi NIS2 e implementino i controlli richiesti.

Obblighi di segnalazione degli incidenti secondo NIS2

NIS2 stabilisce rigorose tempistiche di notifica degli incidenti che rappresentano una sfida operativa significativa per molte organizzazioni. La direttiva impone un processo di segnalazione in tre fasi per gli incidenti significativi che coinvolgono entità coperte.

La prima fase richiede un preavviso entro 24 ore dalla presa di conoscenza di un incidente significativo. Questa notifica deve indicare se l'incidente è sospettato di essere stato causato da atti illeciti o dolosi e se potrebbe avere un impatto transfrontaliero. Il conteggio delle 24 ore inizia quando l'organizzazione viene a conoscenza dell'incidente, non al termine dell'indagine.

La seconda fase richiede una notifica dettagliata entro 72 ore. Questa relazione deve includere una valutazione iniziale dell'impatto, indicatori di compromissione e le misure di risposta applicate o pianificate. È necessario aggiornare questa notifica man mano che emergono nuove informazioni durante l'indagine in corso.

La terza fase richiede una relazione finale entro un mese dalla notifica dell'incidente. Questo documento completo deve contenere una descrizione dettagliata dell'incidente, inclusa la gravità e l'impatto, il tipo di minaccia o la causa principale, le misure di mitigazione applicate e in corso, e qualsiasi valutazione dell'impatto transfrontaliero.

Un incidente è considerato significativo se ha causato, o è in grado di causare, una grave interruzione operativa dei servizi o una perdita finanziaria per l'entità, OPPURE se ha colpito, o è in grado di colpire, altre persone fisiche o giuridiche causando danni materiali o immateriali considerevoli. Questo doppio criterio significa che incidenti rivolti ai clienti con impatto interno limitato possono comunque richiedere notifica in base ai danni esterni.

Governance e supervisione NIS2

Il regolamento NIS2 opera tramite coordinamento a livello UE (ENISA), autorità nazionali competenti (come il BSI tedesco, l'ANSSI francese) e implementazione a livello di entità. Le entità essenziali sono soggette a supervisione continua secondo l'Articolo 32, inclusi ispezioni regolari in loco, audit da remoto, audit di sicurezza obbligatori e penetration test. Le entità importanti sono soggette a supervisione ex post secondo l'Articolo 33, attivata quando le autorità ricevono prove di non conformità.

Un incidente è considerato significativo se ha causato, o è in grado di causare, una grave interruzione operativa dei servizi o una perdita finanziaria per l'entità, OPPURE se ha colpito, o è in grado di colpire, altre persone fisiche o giuridiche causando danni materiali o immateriali considerevoli.

NIS2 e regolamenti UE correlati

Questa regolamentazione NIS2 dell'UE non opera in isolamento. NIS2 si interseca con diversi altri regolamenti UE e comprenderne le relazioni previene lacune di conformità e duplicazioni di sforzi.

• Il Digital Operational Resilience Act (DORA) si applica specificamente alle entità del settore finanziario, tra cui banche, compagnie assicurative e società di investimento. DORA stabilisce requisiti di gestione del rischio ICT che si sovrappongono a NIS2 ma includono disposizioni settoriali specifiche per la gestione del rischio di terze parti e test di resilienza operativa. Le entità finanziarie soggette a DORA soddisfano i requisiti di gestione del rischio di NIS2 tramite la conformità a DORA secondo il principio lex specialis, ovvero la normativa più specifica prevale.
• La Direttiva sulla Resilienza delle Entità Critiche (CER) affronta la sicurezza fisica delle infrastrutture critiche, integrando il focus di NIS2 sulla cybersecurity. Le organizzazioni designate come entità critiche ai sensi della CER affrontano sia requisiti di resilienza fisica sia obblighi di cybersecurity NIS2 contemporaneamente.
• Il Cyber Resilience Act (CRA) riguarda i prodotti con elementi digitali, imponendo ai produttori di implementare la sicurezza durante tutto il ciclo di vita del prodotto. Mentre NIS2 disciplina le pratiche di cybersecurity organizzativa, CRA garantisce che i prodotti acquistati dalle organizzazioni soddisfino standard minimi di sicurezza.

Il GDPR continua a disciplinare la protezione dei dati personali separatamente dai requisiti di cybersecurity di NIS2. Un singolo incidente può attivare obblighi di notifica secondo entrambi i regolamenti, con tempistiche, destinatari e requisiti di contenuto diversi.

Vantaggi chiave dell'adozione di NIS2

Nonostante la complessità normativa, NIS2 offre vantaggi concreti alle organizzazioni che raggiungono la conformità.

1. Requisiti armonizzati in 27 Stati membri. La direttiva stabilisce condizioni uniformi nel panorama della cybersecurity NIS2. Le organizzazioni che operano in più Stati membri beneficiano di requisiti di base armonizzati invece di dover gestire 27 diversi  framework di cybersecurity nazionali.
2. Responsabilità a livello di consiglio guida gli investimenti. La direttiva stabilisce una responsabilità personale esplicita per gli organi di gestione nella  conformità alla cybersecurity. Quando CEO e membri del consiglio sono direttamente responsabili delle decisioni di cybersecurity tramite formazione documentata e approvazioni formali, le discussioni di budget si orientano verso investimenti proattivi.
3. Resilienza della supply chain a cascata. I requisiti di sicurezza della supply chain creano resilienza a cascata nei settori critici. Quando è necessario valutare le vulnerabilità specifiche di ciascun fornitore diretto, i fornitori sono spinti a migliorare la propria postura di cybersecurity. Questo genera miglioramenti nell'ecosistema oltre le singole organizzazioni.
4. Difesa collettiva tramite condivisione rapida delle informazioni. Il requisito di notifica degli incidenti entro 24 ore stabilisce una rapida condivisione delle informazioni durante le minacce attive. Questo processo di segnalazione in tre fasi garantisce che le autorità competenti e i CSIRT nazionali ottengano rapidamente visibilità sulle minacce emergenti, consentendo un'analisi più rapida degli incidenti e il coordinamento transfrontaliero.

Sfide nell'implementazione di NIS2

Questi vantaggi comportano significativi ostacoli all'implementazione.

1. L'impegno del management resta difficile da ottenere. L'indagine dell'European Cyber Security Organisation ha rivelato che solo il  66% delle organizzazioni riporta il coinvolgimento del management nonostante i requisiti obbligatori di responsabilità. Oltre la metà (53%) affronta difficoltà a ottenere un adeguato supporto manageriale anche dopo la scadenza del recepimento.
2. La complessità della supply chain genera rischi a cascata. Le vulnerabilità della supply chain rappresentano la principale barriera sistemica per le organizzazioni che implementano NIS2. Ricerche peer-reviewed pubblicate su MDPI hanno applicato la metodologia DEMATEL per identificare relazioni causali e hanno rilevato che spesso le organizzazioni non hanno controllo sui rischi di terze parti, generando fallimenti a cascata in altre aree di conformità.
3. La segnalazione entro 24 ore richiede capacità always-on. La tempistica di preavviso di 24 ore crea sfide operative per le organizzazioni prive di SOC attivo 24/7 o capacità di identificazione delle minacce in tempo reale. Soddisfare questo requisito richiede workflow predefiniti e capacità di risposta autonoma.
4. Gli oneri documentali mettono sotto pressione i team ridotti. I requisiti di documentazione generano carichi di preparazione agli audit per team già sotto pressione. È necessario mantenere policy di cybersecurity documentate, documentazione di valutazione del rischio, evidenze dell'implementazione dei controlli di sicurezza e prove di conformità alla checklist NIS2 per ciascuna delle 10 misure obbligatorie dell'Articolo 21.
5. I vincoli di risorse impongono scelte difficili. I vincoli finanziari aggravano le sfide di implementazione. Le organizzazioni devono finanziare nuovi controlli di sicurezza, sistemi di documentazione per la conformità, programmi di formazione del personale, processi di valutazione dei fornitori e potenziali audit di sicurezza di terze parti contemporaneamente.

Checklist NIS2 e best practice

Evitare queste insidie richiede un approccio strutturato. Utilizza questa checklist NIS2 per guidare l'implementazione:

1. Parti dalle linee guida ENISA. Utilizza le  ENISA Technical Implementation Guidance come base tecnica autorevole. Questo documento non vincolante di 170 pagine fornisce misure pratiche di implementazione, esempi di evidenze e mappatura con ISO 27001, NIST e IEC 62443.
2. Ottieni il supporto esecutivo in anticipo. Ottieni il supporto a livello esecutivo prima di iniziare l'implementazione tecnica. L'Articolo 29, paragrafo 6 rende i membri degli organi di gestione personalmente responsabili della conformità a NIS2. Documenta le approvazioni del management, il completamento della formazione e le attività di supervisione come evidenza di conformità.
3. Costruisci sui framework esistenti. Se possiedi la certificazione ISO 27001, esegui un'analisi delle lacune rispetto alle 10 misure obbligatorie. Le ENISA Technical Implementation Guidance forniscono una mappatura esplicita che mostra dove i controlli esistenti soddisfano i requisiti NIS2 e dove sono necessarie misure aggiuntive.
4. Implementa capacità di risposta autonoma. Implementa visibilità centralizzata e capacità di risposta autonoma che consentano la notifica degli incidenti entro 24 ore. Sono necessari  sistemi di gestione dei log conformi ai requisiti di conservazione, AI comportamentale per individuare minacce emergenti, automazione della risposta per ridurre il tempo medio di risoluzione e copertura di monitoraggio 24/7.
5. Personalizza le valutazioni dei fornitori. Dai priorità alla sicurezza della supply chain con valutazioni individuali dei fornitori che analizzino le vulnerabilità specifiche di ciascun fornitore diretto e fornitore di servizi. Includi clausole di sicurezza in tutti i contratti con i fornitori specificando obblighi, diritti di audit, requisiti di notifica degli incidenti e procedure di verifica della conformità.
6. Centralizza la documentazione e i workflow. Stabilisci sistemi digitali di documentazione con raccolta delle evidenze in tempo reale, controllo delle versioni e catene di approvazione, e KPI definiti per l'efficacia dei controlli di sicurezza. Crea workflow di notifica degli incidenti preconfigurati che si attivano automaticamente in base ai criteri di classificazione degli incidenti e alle procedure di escalation.

Le organizzazioni che seguono questo approccio strutturato si posizionano non solo per la conformità a NIS2, ma anche per un miglioramento complessivo della postura di sicurezza. Gli investimenti richiesti per la conformità producono benefici operativi che vanno ben oltre i requisiti normativi.

Tempistiche e scadenze per la conformità NIS2

Il regolamento NIS2 opera secondo una tempistica definita dalla data di adozione della direttiva e dai requisiti di recepimento degli Stati membri. Comprendere queste scadenze aiuta le organizzazioni a dare priorità alle attività di implementazione e allocare correttamente le risorse.

La direttiva è entrata in vigore il 16 gennaio 2023, concedendo agli Stati membri 21 mesi per recepire i requisiti nel diritto nazionale. La scadenza per il recepimento era il 17 ottobre 2024. Da quella data, tutte le entità coperte sono diventate soggette ai requisiti NIS2 secondo le rispettive implementazioni nazionali.

Tuttavia, i progressi nel recepimento sono variati notevolmente tra gli Stati membri. Alla scadenza di ottobre 2024, 23 Stati membri dell'UE hanno affrontato procedure di infrazione per recepimento incompleto. Questo ha creato un panorama di conformità frammentato in cui le organizzazioni transfrontaliere si sono trovate di fronte a diversi stati di implementazione a seconda della giurisdizione.

Gli Stati membri devono stabilire gli elenchi delle entità essenziali e importanti entro il 17 aprile 2025. Questa scadenza di registrazione richiede alle organizzazioni coperte di fornire le informazioni necessarie alle autorità nazionali competenti per la classificazione. Se non ti sei ancora registrato presso la tua autorità nazionale, dai priorità a questa azione per garantire una corretta classificazione e assegnazione della supervisione.

La Commissione Europea riesaminerà il funzionamento di NIS2 entro il 17 ottobre 2027 e ogni 36 mesi successivi. Questi riesami potrebbero portare a modifiche della direttiva che incidono sui requisiti di conformità. Le organizzazioni dovrebbero monitorare gli sviluppi normativi e mantenere flessibilità nei programmi di conformità per adattarsi a potenziali cambiamenti.

Per le organizzazioni che stanno ancora costruendo i programmi di conformità, il superamento della scadenza di recepimento richiede un'azione immediata. Dai priorità alle valutazioni del rischio, all'istituzione dei workflow di incident response e alle valutazioni della sicurezza della supply chain. Documenta tutte le attività di conformità per dimostrare agli organi di vigilanza l'impegno di buona fede nell'implementazione.

Riepilogo della direttiva NIS2 e punti chiave

NIS2 dell'UE stabilisce requisiti obbligatori per 18 settori critici, introducendo la responsabilità degli organi di gestione e sanzioni fino a 10 milioni di euro o il 2% del fatturato globale per le entità essenziali. La direttiva richiede l'implementazione di 10 specifiche misure di gestione del rischio, una segnalazione degli incidenti in tre fasi a partire dal preavviso entro 24 ore e valutazioni della sicurezza della supply chain per ciascun fornitore diretto e fornitore di servizi.

Il successo dell'implementazione richiede il supporto del consiglio di amministrazione fin dall'inizio del progetto, un'analisi strutturata delle lacune utilizzando il framework ENISA a 13 aree tematiche e capacità di sicurezza autonome in grado di rispettare tempistiche di segnalazione stringenti nonostante i vincoli di risorse. Le organizzazioni dovrebbero dare priorità alle valutazioni della supply chain e ai workflow di incident response, poiché rappresentano i principali gap di conformità per le entità che passano dalla direttiva NIS originale.

Domande frequenti

Che cos'è NIS2 e perché è stata introdotta?

Comprendere cosa sia NIS2 parte dalla sua designazione formale: NIS2 (Direttiva (UE) 2022/2555) è la direttiva aggiornata dell'Unione Europea sulla cybersicurezza che stabilisce requisiti di sicurezza obbligatori per le organizzazioni che operano in 18 settori critici. L'UE ha introdotto NIS2 per affrontare le carenze della Direttiva NIS originale del 2016, che aveva generato un'applicazione frammentata tra gli Stati membri e mancava di meccanismi di enforcement efficaci. 

Attacchi di alto profilo alle infrastrutture critiche, incluso l'incidente di ransomware contro HSE e l'impatto di NotPetya su spedizioni e logistica, hanno dimostrato la necessità di una governance della cybersicurezza più forte e armonizzata. NIS2 amplia la copertura settoriale, introduce una responsabilità esplicita del management, stabilisce soglie minime per le sanzioni e impone tempistiche specifiche per la segnalazione degli incidenti al fine di rafforzare la resilienza collettiva nell'UE.

Quando entra in vigore NIS2?

La NIS2 dell'UE è entrata in vigore il 16 gennaio 2023, con gli Stati membri tenuti a recepire la direttiva nel diritto nazionale entro il 17 ottobre 2024. Alla scadenza di tale termine di recepimento, tutte le entità interessate sono diventate soggette ai requisiti della NIS2 secondo le rispettive implementazioni nazionali. 

Gli Stati membri devono stabilire gli elenchi delle entità essenziali e importanti entro il 17 aprile 2025. Le organizzazioni che operano nei settori coperti dovrebbero già implementare misure di conformità, poiché il riepilogo della direttiva NIS2 conferma che l'applicazione è ora attiva in tutta l'UE.

Come possono le organizzazioni prepararsi alla conformità NIS2?

Inizia verificando il tuo stato di classificazione presso l'autorità nazionale competente per confermare se NIS2 si applica alla tua organizzazione. Utilizza la Technical Implementation Guidance di ENISA come quadro di riferimento autorevole e la checklist NIS2 per implementare le 10 misure obbligatorie di gestione del rischio. Conduci un'analisi delle lacune rispetto ai requisiti dell'Articolo 21, concentrandoti sui flussi di lavoro per la risposta agli incidenti, sulle valutazioni della sicurezza della supply chain e sui sistemi di documentazione. 

Assicura il coinvolgimento della direzione fin dalle prime fasi, poiché l'Articolo 20 stabilisce la responsabilità personale per gli organi di gestione. Implementa capacità di risposta autonoma che consentano la notifica degli incidenti 24 ore su 24 e stabilisci flussi di lavoro di segnalazione preconfigurati prima che si verifichi un incidente.

Quali organizzazioni devono conformarsi a NIS2?

Le organizzazioni che operano in 18 settori coperti, tra cui energia, trasporti, bancario, sanitario, infrastrutture digitali e manifatturiero, devono conformarsi se soddisfano le soglie dimensionali di 50 o più dipendenti OPPURE oltre 10 milioni di euro di fatturato annuo. 

Le piccole e micro imprese con meno di 50 dipendenti E 10 milioni di euro o meno di fatturato sono generalmente escluse. L'autorità nazionale competente pubblica elenchi ufficiali di entità che forniscono la determinazione definitiva dell'ambito per la tua giurisdizione.

Come si confrontano le sanzioni NIS2 con le multe GDPR?

Le sanzioni per le entità essenziali secondo NIS2 raggiungono i 10 milioni di euro o il 2% del fatturato annuo globale, a seconda di quale sia superiore. Le entità importanti affrontano sanzioni fino a 7 milioni di euro o l'1,4% del fatturato, a seconda di quale sia superiore. Il livello più alto del GDPR arriva a 20 milioni di euro o al 4% del fatturato. 

Le sanzioni NIS2 colpiscono le carenze nella gestione del rischio informatico ai sensi dell' Articolo 21 e le violazioni degli obblighi di notifica degli incidenti ai sensi dell' Articolo 23, mentre il GDPR riguarda le violazioni della protezione dei dati.

Cosa si qualifica come incidente significativo che richiede notifica?

Un incidente è significativo se ha causato o è in grado di causare una grave interruzione operativa o una perdita finanziaria rilevante per la tua entità, OPPURE se ha colpito o può colpire altre persone causando danni materiali o immateriali considerevoli. 

Devi valutare sia l’impatto interno sulle tue operazioni sia gli effetti a valle su clienti o terze parti. Questo doppio criterio significa che gli incidenti rivolti ai clienti con impatto interno limitato possono comunque richiedere una notifica in base al danno esterno.

Posso utilizzare la certificazione ISO 27001 esistente per soddisfare NIS2?

ISO 27001 fornisce una solida base ma non soddisfa automaticamente tutti i requisiti della NIS2. Le linee guida tecniche di ENISA offrono una mappatura pratica tra i controlli ISO 27001 e le 10 misure obbligatorie della NIS2, evidenziando dove le certificazioni sono allineate e dove esistono lacune. 

Esegui un'analisi strutturata delle lacune confrontando la tua implementazione ISO 27001 con l'Articolo 21, concentrandoti sulle tempistiche di notifica degli incidenti, sulla specificità della sicurezza della supply chain e sulle disposizioni relative alla responsabilità della direzione.

Cosa succede se non rispetto la scadenza di 24 ore per la notifica preventiva?

Il mancato rispetto delle scadenze di notifica viola gli obblighi di segnalazione dell'Articolo 23, esponendoti a sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per le entità essenziali. Le autorità nazionali competenti considerano la gravità della violazione, il carattere intenzionale o colposo, il livello di cooperazione e le infrazioni precedenti nella determinazione delle sanzioni. 

Le autorità possono anche emettere ordini vincolanti di conformità e imporre audit di sicurezza a tue spese.