Negli ultimi giorni, la sicurezza delle informazioni è tornata al centro del dibattito europeo, complice l’avvicinarsi della scadenza per l’adozione nazionale della direttiva NIS2, prevista entro il 17 ottobre 2024. Recenti notizie sottolineano come molte aziende italiane siano ancora impreparate rispetto alle novità normative che questa direttiva introdurrà, soprattutto in relazione alle strette connessioni tra sicurezza, conformità legale e tutela dei dati personali.
**Cosa prevede la direttiva NIS2?**
La Direttiva (UE) 2022/2555, meglio conosciuta come NIS2, aggiorna il quadro normativo europeo sulla cybersecurity. Rispetto alla precedente direttiva NIS (2016/1148), NIS2 allarga di molto il campo d’azione: non più solo operatori di servizi essenziali e fornitori di servizi digitali, ma una vasta platea di organizzazioni – incluse molte aziende private e pubbliche – sono chiamate a innalzare gli standard di sicurezza informatica e a gestire con maggiore trasparenza i rischi relativi alle informazioni.
Le imprese coinvolte appartengono a settori critici come energia, trasporti, salute e banche, ma anche comparti trasversali come IT, pubblica amministrazione e produzione. Di fatto, come riportato da diverse testate di settore negli ultimi giorni, saranno migliaia le aziende italiane che dovranno misurarsi con nuovi obblighi stringenti.
**Le principali novità di NIS2**
Tra gli adempimenti principali troviamo:
– Obbligo di adozione di misure tecniche e organizzative specifiche per ridurre il rischio cyber;
– Miglioramento della gestione degli incidenti, con tempi di notifica stringenti verso le autorità nazionali (entro 24 ore dall’identificazione di un incidente rilevante);
– Responsabilizzazione del management, che potrà essere chiamato a rispondere in caso di mancata adozione delle misure dovute;
– Aumento delle sanzioni amministrative per inadempimenti, con importi che possono raggiungere milioni di euro;
– Necessità di assicurare la supply chain: le aziende dovranno vigilare anche sulle misure di sicurezza dei propri fornitori critici;
– Attività di formazione e sensibilizzazione su tutti i livelli aziendali.
Tutta questa architettura regolamentare impone un deciso salto culturale. Non basta più considerare la sicurezza informatica come qualcosa di relegato al settore IT: la gestione del rischio informativo diventa una materia di governance generale.
**Il legame inscindibile tra NIS2, GDPR e privacy**
Di particolare rilevanza, come sottolineato in vari articoli pubblicati questa settimana su Il Sole 24 Ore e Cybersecurity360, è il rapporto stretto tra la direttiva NIS2 e la disciplina europea sulla privacy (GDPR). Gli obblighi imposti da NIS2, infatti, spesso si sovrappongono o si integrano con quelli del regolamento sulla protezione dei dati personali.
Ad esempio, la tempestiva notifica all’autorità prevista dal NIS2 ricorda molto quella già presente nel GDPR in caso di data breach. Ma con NIS2 il perimetro si amplia: non sono solo le violazioni dei dati personali a dover essere segnalate, ma anche incidenti che possono impattare sulla fornitura dei servizi o sulla continuità operativa.
Questa intersezione comporta un’ulteriore necessità di sincronizzazione tra il Data Protection Officer (DPO), il Responsabile della Sicurezza Informatica e i vertici aziendali. Alla disciplina privacy si aggiunge così un layer ulteriore di accountability, con il potenziale rischio di sovrapposizione e duplicazione delle attività.
**Il ruolo cruciale delle risorse umane e della cultura aziendale**
Le recenti news sulle difficoltà di preparazione mettono in evidenza come la vera sfida per molte aziende sia culturale più che tecnologica. Implementare processi coerenti con NIS2 (al pari di quanto avvenne con il GDPR) non riguarda solo l’acquisto di firewall o la revisione delle policy: serve una trasformazione organizzativa, capace di coinvolgere tutte le funzioni aziendali e soprattutto di sensibilizzare il personale.
Formazione, misurazione delle vulnerabilità interne e sviluppo di piani di gestione degli incidenti sono attività imprescindibili. La direttiva impone trasparenza nelle comunicazioni, collaborazione intersettoriale (si pensi alle supply chain complesse) e un’attenzione metodica alle pratiche di gestione della sicurezza.
**Impatto sulle PMI: un percorso ad ostacoli?**
Se per le grandi aziende la compliance può essere un percorso impegnativo ma strutturato, per le PMI si tratta spesso di una sfida inedita. Secondo un report pubblicato questa settimana da Digital4.biz, molte piccole e medie imprese non hanno nemmeno iniziato un processo di adeguamento, esponendosi così a rischi non solo informatici ma anche sanzionatori e reputazionali.
L’estensione del perimetro operativo delle nuove regole comporta costi diretti e indiretti; tuttavia, secondo gli specialisti intervistati, il vero rischio è pensare di poter rinviare l’adeguamento o addirittura restarne esclusi. NIS2, di fatto, incentiva la creazione di ecosistemi digitali più sicuri, dove ogni anello della catena – inclusi fornitori e subfornitori – devono garantire standard minimi di sicurezza.
**Cosa fare in azienda, da oggi**
A pochi mesi dall’obbligo definitivo, le organizzazioni devono:
1. Eseguire un assessment di rischio dettagliato, per individuare le aree di vulnerabilità rispetto alla direttiva;
2. Aggiornare le policy interne, includendo i nuovi obblighi e prevedendo processi di audit periodici;
3. Coinvolgere il management e i responsabili di area in attività di formazione e sensibilizzazione;
4. Mappare e monitorare i fornitori più importanti, chiedendo loro informazioni chiare sulle misure di sicurezza già in atto;
5. Predisporre procedure e strumenti per la notifica tempestiva degli incidenti.
**Verso una convergenza futura?**
Al di là della compliance, NIS2 è l’ennesima riprova di una tendenza ormai chiara su scala europea: la sicurezza delle informazioni non può più essere separata dalla gestione aziendale né dalla tutela dei dati personali. Nei prossimi mesi, con il recepimento della direttiva da parte degli stati membri (e quindi dell’Italia), vedremo probabilmente ulteriori chiarimenti e sinergie tra discipline adiacenti, come cybersecurity, privacy e compliance regolamentare.
Chi saprà anticipare questi cambiamenti potrà considerare la nuova normativa non solo come un obbligo, ma come un vantaggio competitivo: sicurezza, fiducia e trasparenza sono ormai parte integrante del valore d’impresa.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio