Negli ultimi giorni l’attenzione delle aziende italiane si è concentrata sull’approvazione definitiva, da parte del Consiglio dei Ministri, del decreto legislativo per l’attuazione della direttiva europea NIS 2. Questa normativa, che dovrà essere recepita negli Stati membri entro il 17 ottobre 2024, rappresenta un cambiamento radicale in termini di sicurezza informatica, gestione del rischio e responsabilità delle imprese.
Vediamo insieme cosa prevede la direttiva NIS 2, quali nuove responsabilità impone alle aziende e come queste dovranno organizzarsi per essere compliant, tutelando al meglio la sicurezza delle informazioni aziendali e dei dati personali dei propri clienti e stakeholder.
Cos’è la direttiva NIS 2 e a chi si applica
—
La direttiva (UE) 2022/2555, conosciuta come NIS 2 (Network and Information Security), aggiorna la precedente direttiva NIS del 2016. Nasce dall’esigenza di rafforzare il livello comune di sicurezza delle reti e dei sistemi informativi nell’Unione Europea, alla luce del crescente numero e della maggiore complessità delle minacce cyber.
La novità principale di NIS 2 è l’ampliamento drastico della platea di soggetti coinvolti: vengono incluse non solo le infrastrutture critiche e i fornitori di servizi essenziali, ma anche le imprese di medie e grandi dimensioni in 18 settori chiave, tra cui:
– Trasporti
– Energia
– Servizi finanziari
– Sanità
– Acqua potabile e trattamento acque reflue
– Gestione dei rifiuti
– Servizi digitali (cloud, data center, marketplace, motori di ricerca)
– Pubblica amministrazione
In Italia – secondo stime del governo diffuse in questi giorni – saranno migliaia le aziende obbligate ad adeguarsi, comprese molte PMI con un peso strategico per le filiere produttive.
Obblighi per le aziende: quali sono e cosa bisogna fare
—
La direttiva NIS 2 introduce nuovi e più stringenti obblighi per le aziende. Ecco i più rilevanti:
1. **Gestione del rischio e misure di sicurezza**
Le imprese dovranno adottare misure tecniche e organizzative per ridurre il rischio di cybersecurity e minimizzare l’impatto di eventuali incidenti. La definizione delle misure tiene conto di:
– tipologia di servizio offerto
– livello di rischio esistente
– entità e impatto economico-sociale dei potenziali incidenti
2. **Formazione e responsabilità del management**
Novità forte: il top management (amministratori, dirigenti, CDA) assume responsabilità diretta e personale per la mancata attuazione delle regole. Prevista formazione periodica e obbligatoria.
3. **Incident reporting più rapido e strutturato**
In caso di incidenti informatici significativi, le aziende dovranno segnalarli entro 24 ore all’Autorità nazionale competente (in Italia, l’ACN). Successivi aggiornamenti e relazioni dettagliate vanno inviati nei giorni immediatamente successivi.
4. **Fornitori e supply chain sotto controllo**
Le aziende devono garantire che anche i propri fornitori, partner e terze parti rispettino adeguati requisiti di sicurezza.
5. **Sanzioni e controlli**
Previste sanzioni amministrative molto severe, fino a 10 milioni di euro o al 2% del fatturato globale. Sono previsti controlli periodici e audit da parte delle autorità, con pubblicazione degli esiti in caso di violazione.
NIS 2 e GDPR: cosa cambia in tema di protezione dati e privacy
—
Per molte imprese, uno dei timori principali è quello di dover sovrapporre adempimenti differenti. La NIS 2 si integra in parte con il GDPR (regolamento europeo sulla protezione dei dati personali), ma introduce specificità:
– Si applica anche a dati non personali o informazioni critiche di processo.
– La notifica di incidenti cyber dovrà avvenire anche nei casi in cui non vi sia un data breach vero e proprio, ma solo un impatto sulla disponibilità o resilienza dei servizi.
– È obbligato a notificare sia la data breach notification alla Garante Privacy (GDPR), sia la segnalazione all’ACN (NIS 2), con tempistiche molto più strette.
Quelle aziende che già hanno un sistema di gestione cyber compliant con il GDPR troveranno più rapida l’adeguamento, ma non potranno esimersi da una verifica specifica sulle nuove prescrizioni.
Implicazioni organizzative: come prepararsi (e non farsi trovare impreparati)
—
1. **Assessment immediato**
Le aziende dovrebbero già oggi avviare una valutazione del proprio posizionamento rispetto ai requisiti NIS 2. Esistono linee guida e strumenti (anche open source) che aiutano ad autovalutarsi.
2. **Budget, risorse e responsabilità**
Serviranno investimenti, soprattutto nelle realtà più esposte o meno strutturate. Ai vertici aziendali toccherà fissare ruoli, budget e priorità: la compliance non è più solo un compito dell’IT, ma di tutte le funzioni chiave.
3. **Processi di reporting e formazione**
Vanno aggiornate le procedure di segnalazione degli incidenti e implementati corsi periodici per personale e manager.
4. **Piani di continuità e resilienza**
Il piano di business continuity assume un valore centrale, perché alla base di molte richieste NIS 2 c’è la capacità di reagire con tempestività e garantire continuità dei servizi.
5. **Occhio ai fornitori**
Molti incidenti recenti (basti pensare al caso MOVEit o ai ransomware a catena) derivano da vulnerabilità nella filiera. Serve rinegoziare contratti e SLA anche in ottica cyber.
Sfide e rischi: il caso “Electrolux” e la stampa delle ultime settimane
—
Proprio in questi giorni, il tema della sicurezza delle informazioni nelle aziende manifatturiere è tornato alla ribalta con il caso Electrolux: a inizio giugno, un attacco ransomware ha colpito la multinazionale, bloccando la produzione in diversi stabilimenti europei, tra cui Susegana e Solaro in Italia. L’incidente, molto grave, ha dimostrato quanto siano esposte le aziende della filiera industriale e quanto l’indisponibilità di sistemi IT anche solo per qualche giorno possa avere ripercussioni economiche e reputazionali enormi.
Con la NIS 2, un attacco di questo tipo dovrà essere segnalato con tempistiche serrate alle autorità, e l’azienda dovrà essere in grado di dimostrare di aver attivato tutte le misure preventive e di risposta previste dalla norma.
Conclusioni: la sicurezza informatica come leva di governance aziendale
—
La nuova direttiva europea rappresenta una sfida, ma anche una grande opportunità: porta la cybersecurity nel cuore delle strategie di management aziendale, contribuendo non solo alla compliance, ma anche a rafforzare la fiducia di clienti, partner e mercato. La compliance, se ben gestita, può trasformarsi in un vantaggio competitivo e in un elemento distintivo.
Le aziende che si muoveranno in anticipo saranno pronte a rispondere efficacemente alle nuove minacce, tutelando il proprio business ed evitando sorprese sul piano sanzionatorio o reputazionale.
Il tempo stringe: è il momento di agire, fare squadra tra IT, compliance, Direzione e fornitori, e trasformare la sicurezza informatica in un asset di valore.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio