NIS2: cosa cambia per le imprese italiane
Chi è coinvolto, quali obblighi prevede e come prepararsi senza panico.
La direttiva europea NIS2 (Direttiva UE 2022/2555) è stata recepita in Italia con il D.Lgs. 138/2024. Estende gli obblighi di sicurezza informatica a molte più aziende rispetto al passato.
Chi è coinvolto
Riguarda soprattutto le medie e grandi imprese che operano in settori considerati critici o importanti: energia, trasporti, sanità, acqua, infrastrutture digitali, servizi postali, gestione dei rifiuti, chimica, alimentare, manifattura di alcuni prodotti, servizi digitali e altri. I soggetti interessati devono registrarsi sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale (ACN).
Anche chi non rientra direttamente nella norma può esserne toccato: i soggetti NIS2 devono valutare la sicurezza dei propri fornitori, quindi molte PMI della filiera riceveranno richieste precise dai clienti.
Gli obblighi principali
- Misure di gestione del rischio: backup, controllo degli accessi, protezione di dispositivi e rete, continuità operativa.
- Notifica degli incidenti significativi: preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
- Responsabilità degli organi di amministrazione, che devono approvare le misure e formarsi.
Da dove partire
Inizia dalle basi: backup automatici e verificati, autenticazione a più fattori, protezione gestita di computer ed email, una connessione di backup e la formazione del personale. Sono misure utili anche se la NIS2 non ti riguarda direttamente, e in parte possono rientrare nel Voucher Cloud e Cyber Security.
Questa guida è informativa. Per stabilire se la tua azienda rientra nella NIS2 fai riferimento al D.Lgs. 138/2024 e alle indicazioni dell'ACN.
A cura di Stefano Bodini, SB Consulting