Nell’ultima settimana di giugno 2025, l’attenzione del mondo aziendale e degli esperti di cybersecurity è tornata sui temi della sicurezza delle informazioni, della compliance normativa e delle responsabilità aziendali, a seguito di diversi attacchi ransomware che hanno colpito grandi società in Europa, tra cui alcuni operatori di servizi essenziali e infrastrutture critiche italiane. Questi eventi hanno evidenziato, ancora una volta, quanto siano vitali strategie proattive di protezione dei dati e il rispetto delle nuove direttive normative, in particolare la direttiva NIS 2.\n\nMa cosa sta cambiando concretamente per le aziende europee? Quali sono le implicazioni della nuova direttiva NIS 2 sulla governance della sicurezza delle informazioni? E come si intrecciano gli obblighi di compliance con la protezione della privacy e la gestione del rischio?
L’attualità: nuovi attacchi e lezioni da imparare. Nelle ultime settimana di giugno, alcune aziende e istituzioni pubbliche italiane sono state bersaglio di sofisticati attacchi ransomware, che hanno temporaneamente bloccato servizi e sottratto dati sensibili. Questi incidenti, ampiamente riportati dalla stampa specializzata e generalista, sono solo l’ultimo campanello d’allarme in una sequenza di eventi che, negli ultimi mesi, hanno mietuto vittime eccellenti in diversi Paesi europei.\n\nCiò che colpisce di questi ultimi attacchi non è solo l’impatto immediato, spesso in termini di disservizi e perdite economiche, ma anche la natura sempre più avanzata delle tecniche di intrusione: phishing mirato, sfruttamento di vulnerabilità zero-day, manipolazione dei fornitori di servizi IT. Emerge in modo inequivocabile un quadro di crescente sofisticatezza delle minacce, a fronte di un livello di preparazione delle aziende non sempre adeguato.\n\nIn questo scenario, la normativa europea ha accelerato l’evoluzione del quadro regolatorio, in particolare con l’entrata in vigore della direttiva (UE) 2022/2555, meglio nota come NIS 2 (Network and Information Security 2).
NIS 2: cosa cambia rispetto al passato.
NIS 2, recepita dagli Stati membri entro il 17 ottobre 2024, aggiorna e amplia profondamente la precedente direttiva NIS (2016). L’obiettivo è rafforzare la sicurezza delle reti e dei sistemi informativi di tutta l’Unione Europea, coinvolgendo un numero molto più ampio di soggetti rispetto al passato, e introducendo requisiti più rigorosi in termini di gestione del rischio, governance e segnalazione degli incidenti.\n\nLe principali novità della NIS 2 comprendono:
– Ampliamento del perimetro soggettivo: la direttiva si applica a una gamma considerevolmente più vasta di soggetti, identificati come “operatori essenziali” e “operatori importanti”, includendo tra gli altri aziende energetiche, dei trasporti, sanitarie, bancarie, delle infrastrutture digitali e pubbliche amministrazioni.
– Responsabilità del top management: la NIS 2 assegna nuove e stringenti responsabilità agli organi di gestione delle aziende (amministratori, direttori), che possono rispondere personalmente in caso di violazione degli obblighi.
– Requisiti di sicurezza rafforzati: le aziende devono adottare misure tecniche e organizzative appropriate per gestire i rischi, tra cui la formazione del personale, la sicurezza della supply chain, la cifratura dei dati, la gestione delle vulnerabilità e i test di sicurezza periodici.
– Obblighi di notifica degli incidenti: viene imposto l’obbligo di notificare entro 24 ore gli incidenti significativi all’autorità nazionale competente, con la successiva trasmissione di dettagli sulle misure adottate e sulle conseguenze.
– Sanzioni più severe: vengono introdotte multe molto alte, fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, per le aziende che non rispettano i requisiti.\n\nQuesti cambiamenti si inseriscono in un quadro nel quale la sicurezza informatica non è più soltanto una questione tecnica, ma un elemento cruciale della vita aziendale e una responsabilità condivisa a livello di governance.
Sinergie e differenze tra NIS 2, GDPR e altre normative. Molte aziende oggi si chiedono: se sono già in regola con il GDPR, in cosa consiste concretamente la compliance con la NIS 2?
Il GPDR (Regolamento generale sulla protezione dei dati) è sicuramente il punto di riferimento per la tutela dei dati personali. Tuttavia, la NIS 2 si focalizza principalmente sulla sicurezza delle reti e delle infrastrutture digitali ”essenziali”, coinvolgendo anche altri tipi di dati (non solo personali) e obbligando le organizzazioni a un approccio ”risk-based” molto più vasto.
Le due normative sono, però, profondamente interconnesse:
– Incidenti e Data Breach: Un attacco cyber può comportare non solo il blocco di servizi essenziali, ma anche la violazione dei dati personali. In tal caso, l’azienda è tenuta sia agli obblighi di notifica previsti dalla NIS 2, sia a quelli previsti dal GDPR (entro 72 ore all’autorità Garante Privacy).
– Approccio al rischio: Sia NIS 2 che GDPR prevedono un sistema di analisi e gestione del rischio. Tuttavia, la NIS 2 richiede una maggiore attenzione verso l’operatività aziendale, coinvolgendo le risorse, i processi e i fornitori e individuando specifiche responsabilità manageriali.
– Ambito oggettivo: La NIS 2 si rivolge in modo specifico ai soggetti ”essenziali” e li obbliga ad adottare misure di sicurezza adeguate per garantire continuità e resilienza operativa. Il GDPR riguarda invece tutti i titolari e responsabili del trattamento di dati personali.
Diventa quindi fondamentale per le aziende sviluppare un sistema integrato di compliance, in grado di rispondere contemporaneamente alle diverse normative e di potenziare la cultura della sicurezza come valore aziendale strategico.
Implicazioni pratiche per le aziende. Adeguarsi ai nuovi obblighi imposti dalla NIS 2 può rivelarsi un percorso sfidante, ma è necessario per evitare sanzioni e, soprattutto, per difendere la propria attività da danni, reputazionali ed economici, che spesso risultano devastanti dopo un attacco cyber.
Ecco alcune linee guida pratiche per iniziare il percorso di compliance:
1. Mappare i soggetti e i beni critici: è fondamentale individuare le aree aziendali soggette alla NIS 2, mappando asset, processi e infrastrutture critiche.
2. Valutare i rischi e predisporre policy aggiornate: vanno eseguite valutazioni periodiche dei rischi cyber, considerando anche minacce emergenti come attacchi supply chain e vulnerabilità nuove (ad esempio, collegate all’utilizzo dell’Intelligenza Artificiale).
3. Formare e responsabilizzare il management: una delle principali novità della NIS 2 riguarda la formazione obbligatoria dei vertici aziendali, che devono essere pienamente consapevoli delle proprie responsabilità e in grado di prendere decisioni rapide in caso di incidenti.
4. Rafforzare la sicurezza della supply chain: occorre gestire i rischi derivanti da terze parti e fornitori critici, stipulando contratti chiari e prevedendo audit di sicurezza.
5. Sviluppare procedure di risposta agli incidenti: è essenziale progettare e testare piani di risposta e continuità operativa, con procedure di notifica tempestive e flussi informativi interni ben definiti.
6. Monitorare e segnalare gli incidenti in modo tempestivo: la cultura della trasparenza deve guidare le aziende, evitando il rischio (ancora presente) di sottovalutare o occultare gli incidenti.
Rischi emergenti e nuovi scenari: AI, supply chain e attacchi ibridi. Un altro aspetto emerso dalle notizie di questa settimana è che i cybercriminali si stanno sempre più avvalendo dell’intelligenza artificiale per confezionare attacchi mirati, automatizzare le intrusioni e progettare campagne di phishing sempre più verosimili. La NIS 2 comprende tra i suoi requisiti misure specifiche riguardo la sicurezza software, la gestione delle vulnerabilità e i rischi emergenti legati all’uso di IA generativa e strumenti di automazione, ma un aspetto fondamentale per la salvaguardia della sicurezza aziendale sarà l’affidarsi ad un partner strutturato, competente e costantemente aggiornato, in grado di fornire i giusti consigli sia in fase di prevenzione che di intervento tempestivo in caso di violazione.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio