Nelle ultime settimane, il tema della sicurezza informatica e dell’adeguamento normativo ha conquistato le prime pagine dei quotidiani economici e dei portali specializzati, a causa di un passaggio chiave nelle istituzioni italiane: la Direttiva NIS 2 è stata recepita definitivamente anche dal nostro Paese. La NIS 2, adottata a livello europeo, rappresenta un cambio di passo cruciale nella regolamentazione della cybersecurity, imponendo obblighi molto più stringenti su una platea più ampia di aziende.
Questo aggiornamento normativo coinvolge direttamente la vita quotidiana delle imprese, determinando impatti non solo sugli aspetti tecnici della sicurezza delle informazioni, ma anche sulla governance, la gestione dei rischi e la cultura della compliance.
**Un cambio di paradigma: cos’è la Direttiva NIS 2**
La Direttiva Network and Information Security (NIS 2), aggiornata nell’autunno 2022 e ora recepita concretamente negli ordinamenti nazionali, introduce un rafforzamento degli obblighi di sicurezza per una vasta gamma di operatori economici e enti pubblici. Si va dai provider di servizi essenziali come energia, trasporti, acqua, banche e sanità, fino ai fornitori di servizi digitali e infrastrutture critiche.
Sono tenute ad adeguarsi alla NIS 2 tutte le aziende di medie e grandi dimensioni (sopra i 50 dipendenti o 10 milioni di euro di fatturato), ma – aspetto rivoluzionario – anche numerose realtà più piccole se inserite in filiere considerate “critiche”. Secondo le stime di Clusit e dell’Agenzia per la Cybersicurezza Nazionale (ACN), nel nostro paese almeno 2.500 nuove aziende saranno obbligate ad adeguarsi rispetto al passato. È questo un segnale di quanto la cybersecurity sia divenuta materia trasversale, non più confinata agli specialisti IT.
**Nuove responsabilità per i vertici aziendali**
Uno degli aspetti più discussi della NIS 2 è l’attribuzione puntuale di responsabilità personali ai membri degli organi direttivi delle società, che dovranno supervisionare direttamente le strategie e le misure di sicurezza. D’ora in poi, i consigli di amministrazione e i manager non potranno più delegare o ignorare questi aspetti: la normativa prevede pesanti sanzioni amministrative (fino a 10 milioni di euro), e la possibilità di sospendere temporaneamente le cariche dei dirigenti in caso di gravi inadempienze.
Questa rivoluzione nella governance implica inevitabilmente l’introduzione di policy codificate, audit periodici e un dialogo più stretto tra IT, legale, compliance e vertici aziendali. Per molte organizzazioni, abituate a vedere la sicurezza IT come una questione “tecnica”, si tratta di un vero cambio culturale.
**Obblighi e novità operative introdotte dalla NIS 2**
La Direttiva NIS 2 introduce una serie di requisiti minimi, che ogni azienda deve adottare per essere considerata conforme. Tra questi:
– Implementazione di misure tecniche e organizzative adeguate (controlli di accesso, gestione delle patch, crittografia, segmentazione delle reti, monitoraggio degli eventi);
– Analisi e gestione continua dei rischi legati alla sicurezza delle informazioni;
– Notifica obbligatoria degli incidenti entro 24 ore dalla scoperta, con comunicazione all’ACN e, nei casi più gravi, anche agli utenti;
– Audit regolari e attività di formazione rivolte a tutto il personale, compresi i vertici.
Inoltre, si ha l’obbligo di valutare costantemente i fornitori e i terzi, assicurandosi che anch’essi aderiscano a standard minimi di sicurezza. Questo porta a una gestione della supply chain molto più attenta, senza più possibilità di “scaricare” la responsabilità all’esterno.
**Come devono rispondere le aziende**
Molte imprese italiane, secondo il recente rapporto Clusit, risultano oggi impreparate: solo il 32% dichiara di aver già avviato processi di adeguamento realmente strutturati alla NIS 2 e meno del 20% dispone di una governance centralizzata della sicurezza. La carenza maggiore è nelle attività di assessment dei rischi e nei piani di incident response davvero efficaci.
Occorre quindi progettare una roadmap di adeguamento che coinvolga sia la parte organizzativa (nomine, definizione delle responsabilità, documentazione, formazione) sia quella tecnologica (aggiornamento delle infrastrutture, monitoraggio, gestione degli accessi, simulazioni di incidenti). Gli esperti raccomandano, come primo passo, di eseguire un audit indipendente sullo stato attuale della sicurezza e sulla maturità della compliance, così da individuare le priorità d’azione.
**Rapporto tra NIS 2, GDPR e altre normative**
Un’altra domanda cruciale che molte aziende si pongono riguarda la sovrapposizione tra NIS 2 e altre normative già in vigore, primo fra tutti il GDPR. La risposta, secondo i professionisti legali, è che la NIS 2 non sostituisce il GDPR, ma vi si affianca, andando a chiedere livelli di sicurezza più dettagliati per le reti informatiche e le infrastrutture critiche. Le notifiche di data breach devono essere coordinate: un incidente che comporti la fuga di dati personali dovrà essere notificato sia all’ACN sia al Garante Privacy.
Va anche detto che il pacchetto di normative UE sulla cybersecurity è in costante evoluzione. Dovremo presto fare i conti anche con l’adozione del Cyber Resilience Act (CRA) e con regole specifiche per il comparto finanziario (DORA). Tutto questo richiede un approccio integrato, capace di tenere insieme compliance, sicurezza operativa e gestione della privacy.
**Gli attacchi aumentano, la risposta deve essere all’altezza**
Il recepimento della NIS 2 avviene in un contesto di minacce crescenti. Solo nell’ultimo anno, i cyber attacchi verso aziende italiane sono cresciuti del 40%, secondo i dati ACN e Clusit. I settori maggiormente nel mirino sono sanità, trasporti, manifatturiero e servizi pubblici. Spesso gli incidenti coinvolgono anche piccoli fornitori della filiera, non adeguatamente protetti: un aspetto su cui la NIS 2 interviene in modo diretto.
**Il ruolo della formazione e della cultura aziendale**
Un elemento spesso trascurato, ma oggi centrale, è l’attenzione alla formazione continua e alla consapevolezza dei rischi tra tutti i dipendenti. La normativa impone di realizzare, almeno annualmente, sessioni di aggiornamento, test di phishing simulati e attività di sensibilizzazione. Per far fronte alla carenza di competenze (la domanda di cyber specialist è cresciuta del 70% in due anni), si stanno moltiplicando le partnership con università, enti di formazione e provider esterni specializzati.
**Conclusioni: la security è questione di strategia, non solo di tecnologia**
L’entrata in vigore della NIS 2, con le sue novità e i suoi obblighi, rappresenta senz’altro una sfida per l’ecosistema imprenditoriale italiano, ma anche un’opportunità per evolvere la propria maturità digitale e la gestione della sicurezza.
Non si tratta di un semplice adempimento formale: la vera sfida, oggi, è quella di integrare la compliance in una strategia di lungo termine per la protezione dell’azienda, dei dati e della reputazione, coinvolgendo tutte le funzioni aziendali e rendendo la sicurezza un asset distintivo di competitività.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio