Obblighi NIS 2: misure, incidenti e ruolo della direzione

Stabilito che l'azienda rientra nella NIS 2, la domanda diventa operativa: cosa richiede concretamente la norma? Gli obblighi si raggruppano in tre blocchi: le misure di sicurezza, la notifica degli incidenti significativi e la responsabilità degli organi di amministrazione.

Da dove derivano gli obblighi

La base è la Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024. Il decreto fissa i principi; l'Agenzia per la Cybersicurezza Nazionale (ACN) li traduce in requisiti con le proprie determinazioni.

Le misure di sicurezza di base risultano oggi definite nella determinazione ACN n. 379907/2025. L'ACN ha pubblicato anche linee guida dedicate, che chiariscono come leggere le misure e quali evidenze predisporre.

I tempi di adeguamento dipendono dal momento in cui l'ACN inserisce l'azienda nell'elenco dei soggetti NIS e decorrono dalla comunicazione di inserimento. Per i soggetti inseriti nel 2025 i termini risultano di 9 mesi per gli obblighi di notifica e di 18 mesi per le misure di base; per gli inserimenti successivi valgono i termini comunicati dall'ACN.

1. Le misure di sicurezza

Il decreto richiede misure tecniche, operative e organizzative adeguate e proporzionate ai rischi. L'elenco minimo riprende quello della Direttiva:

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
• gestione degli incidenti;
• continuità operativa: backup, disaster recovery e gestione delle crisi;
• sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti;
• sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
• procedure per valutare l'efficacia delle misure adottate;
• igiene informatica di base e formazione;
• uso della crittografia e, se del caso, della cifratura;
• sicurezza del personale, controllo degli accessi e gestione degli asset;
• autenticazione a più fattori, comunicazioni protette e sistemi di comunicazione di emergenza protetti, dove opportuno.

L'impostazione delle misure ACN

Le misure di base dell'ACN si fondano sul Framework nazionale per la cybersecurity e la data protection e risultano organizzate per funzioni, identificate dai codici GV, ID, PR, DE, RS e RC. Ai soggetti essenziali si applica un insieme di requisiti più ampio rispetto ai soggetti importanti.

Per una PMI questo si traduce in documenti e attività molto concreti:

• inventari: apparati, sistemi e applicazioni, servizi, flussi di rete, fornitori;
• piani: trattamento dei rischi, continuità operativa e disaster recovery, gestione delle vulnerabilità, formazione, risposta agli incidenti;
• politiche e procedure per i requisiti che le prevedono;
• registri: riesami delle politiche, formazione svolta, manutenzioni.

Il punto chiave è che le misure devono essere applicate, non solo scritte. Una politica sui backup priva di prove di ripristino, o una politica sugli accessi senza revisione delle utenze, non regge a una verifica.

2. La notifica degli incidenti significativi

Un incidente è significativo quando ha causato, o può causare, gravi perturbazioni dei servizi o perdite economiche, oppure danni rilevanti ad altre persone. L'ACN ha definito con proprie determinazioni le tipologie di incidente da notificare.

Le notifiche vanno inviate al CSIRT Italia con tempi precisi:

• preallarme entro 24 ore dalla conoscenza dell'incidente;
• notifica entro 72 ore, con una prima valutazione di gravità e impatto;
• relazione intermedia, se richiesta;
• relazione finale entro un mese dalla notifica; se l'incidente è ancora in corso, una relazione sui progressi e la relazione finale entro un mese dalla conclusione della gestione.

Ventiquattro ore passano in fretta, soprattutto di venerdì sera. Rispettare questi tempi richiede elementi predisposti in anticipo:

• un piano di gestione degli incidenti approvato, con ruoli e contatti;
• criteri chiari per stabilire se un evento è significativo;
• strumenti di rilevamento e log conservati;
• un referente designato per i rapporti con il CSIRT Italia, con un sostituto;
• un fornitore IT con impegni contrattuali chiari su tempi e modalità di supporto.

Senza questi elementi la notifica diventa un'improvvisazione nel momento peggiore.

3. La responsabilità della direzione

È il blocco che incide di più sulla cultura aziendale. L'articolo 23 del D.Lgs. 138/2024 richiede agli organi di amministrazione e direttivi di:

• approvare le modalità di implementazione delle misure di sicurezza;
• sovrintendere alla loro attuazione;
• rispondere delle violazioni;
• seguire una formazione in materia di sicurezza informatica e promuovere una formazione periodica per i dipendenti.

Diversi documenti richiesti dalle misure ACN, come politiche di sicurezza, piano di trattamento dei rischi e piano di gestione degli incidenti, devono essere approvati dalla direzione. Non basta una firma: chi approva deve comprendere cosa approva.

Le sanzioni risultano rilevanti: per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per i soggetti importanti fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo, se superiore. Per una PMI, tuttavia, il rischio principale resta l'incidente stesso: fermo produttivo, dati persi, clienti che chiedono spiegazioni.

Il percorso di consulenza NIS 2

La consulenza NIS 2 di General Tech di Rosario Zappalà si svolge da remoto in tutta Italia, con sopralluoghi quando necessari. Dopo una call gratuita di 30 minuti e una proposta scritta personalizzata con attività e tempi, il percorso prevede una valutazione interna rispetto agli obblighi del decreto e alle misure di base ACN, un piano per colmare le lacune con priorità, responsabili e scadenze interne, e la redazione di politiche e procedure su misura, a partire dal piano di gestione degli incidenti.

È richiesta la collaborazione del Responsabile IT e, se presente, del fornitore IT esterno: le misure tecniche passano da loro.

Domande frequenti

Ogni incidente informatico va notificato?

No. L'obbligo riguarda gli incidenti significativi, secondo i criteri del decreto e le tipologie definite dall'ACN. Gli altri eventi vanno comunque gestiti e registrati internamente.

È possibile delegare tutto al fornitore IT?

Le attività tecniche possono essere affidate al fornitore, ma la responsabilità resta all'azienda e ai suoi organi di amministrazione. Conviene che il contratto preveda tempi e modalità di supporto in caso di incidente.

Un'azienda certificata ISO/IEC 27001 è già adeguata?

Dispone di una base solida: analisi dei rischi, politiche e controlli. Le misure ACN hanno però una struttura propria e la notifica al CSIRT Italia è un obbligo specifico. Serve una mappatura puntuale.

Quanto tempo richiede l'adeguamento?

Dipende dal punto di partenza. Per questo ogni proposta è preceduta da una valutazione interna: solo così si stimano attività e tempi realistici.