Con la NIS 2 cambia il modo in cui aziende e infrastrutture affrontano il tema della sicurezza informatica

La trasformazione digitale ha reso le infrastrutture europee più interconnesse, ma anche più vulnerabili. Negli ultimi anni gli attacchi informatici contro ospedali, utility energetiche, pubbliche amministrazioni e imprese industriali hanno dimostrato che la sicurezza IT non è più solo un tema tecnico: riguarda la continuità operativa, la reputazione aziendale, la sicurezza nazionale. In questo contesto si inserisce la Direttiva UE 2022/2555, meglio conosciuta come NIS 2, che ridisegna in profondità il quadro normativo europeo sulla cybersicurezza.

Per imprenditori, manager, responsabili IT, DPO e amministratori di società critiche o strategiche, la NIS 2 non è una mera compliance burocratica, ma un cambio di paradigma: introduce responsabilità dirette del top management, requisiti minimi di sicurezza uniformi a livello UE e un sistema di controlli e sanzioni molto più severo. Comprendere impatti, obblighi e opportunità è oggi essenziale per pianificare adeguatamente investimenti, governance e processi interni.

Scenario: come si è arrivati alla NIS 2

La Direttiva NIS originale (Direttiva UE 2016/1148), entrata in vigore nel 2016, è stato il primo tentativo dell’Unione europea di costruire un quadro comune di sicurezza delle reti e dei sistemi informativi. L’obiettivo era proteggere i servizi essenziali (energia, trasporti, sanità, finanza, acqua) e i fornitori di servizi digitali (motori di ricerca, cloud, marketplace) da incidenti informatici gravi.

Nel giro di pochi anni, però, lo scenario delle minacce è radicalmente cambiato. Secondo l’Agenzia dell’Unione europea per la cybersicurezza (ENISA), il numero di attacchi ransomware gravi in Europa è cresciuto in modo significativo dopo il 2020, con un picco nel biennio 2021 2022 che ha coinvolto infrastrutture critiche, sanità e pubblica amministrazione. Episodi come l’attacco alla sanità irlandese nel 2021, ai sistemi ospedalieri francesi e tedeschi, o i numerosi casi di blocco di catene industriali e logistiche hanno evidenziato come la resilienza informatica sia un elemento centrale per il funzionamento dei servizi essenziali.

Allo stesso tempo, sono emerse alcune criticità della prima direttiva NIS:

• applicazione disomogenea tra Stati membri, con requisiti diversi da Paese a Paese;

• copertura limitata dei settori, che lasciava fuori molte realtà oggi strategiche;

• mancanza di un focus esplicito sulla supply chain digitale e sui fornitori critici.

La pandemia di Covid 19 e la corsa alla digitalizzazione (smart working, servizi online, cloud) hanno accelerato la consapevolezza di queste lacune. La Commissione europea, sulla base di analisi di impatto e consultazioni con Stati membri e stakeholder, ha quindi proposto una revisione strutturale che ha portato all’adozione della Direttiva UE 2022/2555 (NIS 2).

Cosa cambia con la Direttiva UE 2022/2555 (NIS 2)

La NIS 2 non è un semplice aggiornamento tecnico: ridefinisce l’intero impianto della sicurezza informatica per un numero molto più ampio di soggetti, introducendo obblighi sostanziali e un regime sanzionatorio vicino, per rigore, a quello del GDPR.

Ambito di applicazione ampliato

Una delle principali novità è l’allargamento dei settori e delle tipologie di soggetti coinvolti. La direttiva distingue tra “entità essenziali” e “entità importanti”, ma, a livello pratico, molte imprese che finora non erano toccate dalle norme sulla sicurezza delle reti saranno ora incluse.

Rientrano tra le entità essenziali, tra le altre:

• energia (elettricità, gas, petrolio, teleriscaldamento);

• trasporti (aereo, ferroviario, marittimo, stradale);

• banche e infrastrutture dei mercati finanziari;

• sanità (ospedali, cliniche, fornitori critici di tecnologie mediche);

• fornitura e distribuzione idrica; infrastrutture digitali (DNS, IXPs, data center di rilievo);

• pubblica amministrazione centrale e, in parte, regionale.

Le entità importanti includono, tra le altre: servizi postali e di corriere, gestione dei rifiuti, industria manifatturiera di determinati settori (ad esempio chimico, medicale, alimentare su larga scala), provider digitali (cloud, data analytics, data center), operatori di piattaforme online di certe dimensioni.

La direttiva adotta in larga misura una logica basata su dimensione (medie e grandi imprese) e impatto sistemico. Questo significa che molte PMI di filiera, soprattutto se fornitrici di operatori essenziali, saranno direttamente o indirettamente coinvolte.

Obblighi di sicurezza “by design” e gestione del rischio

La NIS 2 richiede l’adozione di misure tecniche, organizzative e procedurali adeguate al rischio. Non elenca una checklist rigida, ma indica aree obbligatorie: valutazione dei rischi, gestione degli incidenti, sicurezza della supply chain, sicurezza delle reti e dei sistemi, gestione delle vulnerabilità, autenticazione forte, formazione del personale, piani di continuità operativa e disaster recovery.

In concreto, per molte organizzazioni questo si tradurrà nella necessità di strutturare o rafforzare funzioni di cyber risk management, di formalizzare politiche di sicurezza, di definire ruoli e responsabilità (CISO, referenti per la gestione degli incidenti, comitati di crisi) e di integrare la sicurezza fin dalla progettazione dei sistemi (security by design e by default).

Responsabilità del top management

Un elemento distintivo della NIS 2 è il coinvolgimento esplicito degli organi di amministrazione o di direzione. I vertici aziendali devono approvare e supervisionare le misure di gestione del rischio informatico e possono essere ritenuti direttamente responsabili in caso di violazioni gravi degli obblighi previsti.

La direttiva prevede anche obblighi di formazione specifica per il management, con l’obiettivo di superare la tradizionale separazione tra “tema tecnico” e “tema di business”. La sicurezza informatica diventa, a tutti gli effetti, una componente della governance aziendale e del dovere di diligenza degli amministratori.

Segnalazione degli incidenti e cooperazione

La NIS 2 rafforza e standardizza le procedure di notifica degli incidenti. Le entità soggette dovranno segnalare agli organismi nazionali competenti determinati eventi entro tempistiche precise (ad esempio una notifica iniziale entro 24 ore dall’individuazione di un incidente significativo e successivi aggiornamenti). Lo scopo è favorire la condivisione di informazioni sulle minacce, la risposta coordinata e la prevenzione di effetti a catena su altri soggetti.

Dati e statistiche: quanto è urgente per le imprese italiane

Per comprendere la portata della NIS 2 nel contesto italiano, è utile guardare alcuni trend recenti. Secondo i dati del Clusit (Associazione Italiana per la Sicurezza Informatica), negli ultimi anni gli attacchi informatici gravi a livello globale sono cresciuti stabilmente, con un peso rilevante su Europa e Italia. Il settore pubblico, la sanità, i servizi finanziari e l’industria risultano tra i più colpiti.

Negli ultimi report, il Clusit evidenzia per l’Italia una crescita del numero di incidenti gravi e una maggiore sofisticazione degli attacchi, con particolare diffusione di ransomware, attacchi di supply chain e compromissione di servizi esposti (VPN, RDP, applicazioni web). La tendenza è coerente con quella descritta dall’ENISA per il panorama europeo.

L’Agenzia per la Cybersicurezza Nazionale (ACN), istituita nel 2021, ha più volte sottolineato come molte realtà italiane – soprattutto PMI e enti locali – presentino ancora un livello di maturità cyber insufficiente rispetto alla criticità dei servizi forniti. In diversi rapporti pubblici si evidenzia, ad esempio, la carenza di:

• inventari completi e aggiornati degli asset IT e OT;

• procedure strutturate di gestione delle vulnerabilità;

• piani di continuità operativa testati e aggiornati;

• formazione continua del personale sui rischi di sicurezza.

A livello internazionale, ricerche di società di consulenza e istituti di settore indicano che il costo medio di un data breach si attesta su valori di alcuni milioni di euro per incidente per le organizzazioni di dimensioni medio grandi. Nel settore sanitario e nei servizi finanziari il costo per singolo record violato risulta tra i più elevati, a causa della sensibilità dei dati e degli impatti regolatori.

Per le PMI, anche incidenti con impatti economici apparentemente più contenuti possono risultare critici: blocco della produzione per alcuni giorni, richieste di riscatto, perdita di dati progettuali o di proprietà intellettuale, interruzione dei rapporti con grandi clienti per mancato rispetto dei requisiti di sicurezza.

Rischi e criticità se non si interviene

Ignorare o rinviare l’adeguamento alla NIS 2 espone aziende e organizzazioni a una pluralità di rischi, che vanno ben oltre il piano tecnologico.

Rischi operativi e di continuità del servizio

Gli incidenti cyber possono colpire tanto i sistemi IT (gestionali, posta elettronica, piattaforme di servizio) quanto quelli OT e industriali (SCADA, PLC, sistemi di controllo in fabbrica). Per un ospedale, un fornitore energetico o un operatore logistico, un blocco prolungato dei sistemi può tradursi in impossibilità di erogare il servizio, ritardi gravi, rischi per la sicurezza fisica delle persone.

In molte realtà, le architetture legacy, la scarsa segmentazione di rete e la presenza di sistemi non più supportati amplificano la vulnerabilità agli attacchi. Senza un programma di messa in sicurezza graduale, il rischio è accumulare un debito tecnologico che rende sempre più costoso e complesso intervenire.

Rischi legali e sanzionatori

La NIS 2 introduce un regime sanzionatorio significativamente più severo rispetto alla precedente direttiva. Gli Stati membri sono tenuti a prevedere sanzioni effettive, proporzionate e dissuasive, che per le entità essenziali possono arrivare a percentuali rilevanti del fatturato annuo globale. Le autorità nazionali avranno poteri ispettivi, di audit e, in casi estremi, di sospensione temporanea di autorizzazioni o ruoli di management.

Per molte imprese, la mancata conformità potrebbe tradursi non solo in sanzioni economiche, ma anche in responsabilità degli amministratori, richieste risarcitorie da parte di clienti o partner, obblighi di comunicazione pubblica di incidenti con riflessi sulla reputazione.

Rischi competitivi e di filiera

Un aspetto spesso sottovalutato riguarda la posizione nella catena del valore. I grandi operatori dei settori essenziali tenderanno a richiedere ai loro fornitori livelli minimi di sicurezza allineati alla NIS 2, per ridurre il rischio di attacchi di supply chain. Le PMI che non sapranno dimostrare adeguate misure di cybersecurity rischiano di essere escluse da gare, contratti quadro o progetti strategici, indipendentemente dal fatto di rientrare direttamente nel perimetro regolatorio.

In molti casi, la capacità di documentare processi di gestione del rischio, piani di risposta agli incidenti e livelli di sicurezza delle infrastrutture diventerà un fattore competitivo tanto quanto il prezzo o la qualità del prodotto.

Opportunità e vantaggi per chi si adegua correttamente

Guardare alla NIS 2 solo come a un adempimento costoso e complesso rischia di far perdere di vista il potenziale di miglioramento che può generare per l’organizzazione. Un approccio strategico alla conformità può infatti portare benefici tangibili su più livelli.

Maggiore resilienza e riduzione dei costi di incidente

Investire in valutazione del rischio, prevenzione, monitoraggio e risposta agli incidenti riduce la probabilità e l’impatto di eventi gravi. Anche se è difficile azzerare completamente il rischio, l’esperienza mostra che organizzazioni con processi di cybersecurity maturi sono in grado di:

• intercettare prima attività anomale e tentativi di intrusione;

• limitare la diffusione di malware o l’esfiltrazione di dati grazie a misure di segmentazione e controllo degli accessi;

• ripristinare più rapidamente i servizi grazie a backup strutturati e piani di disaster recovery testati.

A medio termine, la riduzione di incidenti gravi e di interruzioni prolungate può generare risparmi significativi rispetto ai costi diretti e indiretti di un attacco non gestito (riscatti, consulenze d’emergenza, fermi produzione, cause legali, danno reputazionale).

Rafforzamento della fiducia di clienti, partner e investitori

La capacità di dimostrare un approccio strutturato alla sicurezza informatica diventa un elemento di credibilità verso il mercato. In molti settori, clienti corporate e istituzionali richiedono già oggi questionari di security assessment, audit, certificazioni o attestazioni di conformità a standard riconosciuti (come ISO 27001 o framework nazionali).

Un percorso di adeguamento alla NIS 2 ben documentato, integrato con politiche chiare e una governance definita, può facilitare l’accesso a nuove commesse, partnership e, in alcuni casi, anche a condizioni più favorevoli nei rapporti con assicuratori e finanziatori.

Allineamento con gli investimenti del PNRR e con le politiche europee

Nell’ultimo triennio, una parte significativa delle risorse del Piano Nazionale di Ripresa e Resilienza (PNRR) è stata destinata a progetti di digitalizzazione e sicurezza informatica nella pubblica amministrazione, nelle infrastrutture e nelle imprese. Allineare gli interventi tecnici e organizzativi ai requisiti NIS 2 permette di sfruttare meglio queste opportunità, evitando duplicazioni e progetti scollegati dalla strategia di medio periodo.

In prospettiva, è ragionevole attendersi che molte linee di finanziamento europee e nazionali continueranno a privilegiare interventi coerenti con i principali framework regolatori in ambito digitale, tra cui appunto la NIS 2, il Cyber Resilience Act e altre iniziative UE.

La prospettiva normativa: tempi, recepimento e ruolo dell’Italia

La Direttiva UE 2022/2555 deve essere recepita dagli Stati membri attraverso leggi nazionali. La direttiva fissa una data limite entro la quale ciascun Paese deve adeguare il proprio ordinamento, definire le autorità competenti, gli organismi di controllo, le procedure di notifica, le sanzioni e i settori/entità specificamente inclusi.

In Italia, il recepimento della direttiva si inserisce in un quadro già articolato, che comprende il Perimetro di sicurezza nazionale cibernetica, il ruolo dell’Agenzia per la Cybersicurezza Nazionale, le norme settoriali (ad esempio in ambito bancario e assicurativo) e le regole già vigenti per gli operatori di servizi essenziali individuati sotto la precedente direttiva NIS.

È prevedibile che il legislatore nazionale, nel dare attuazione alla NIS 2, dovrà coordinare attentamente i diversi livelli regolatori, per evitare sovrapposizioni e incoerenze. Dal punto di vista delle imprese, ciò si tradurrà nella necessità di monitorare:

• i decreti di recepimento e gli elenchi dei soggetti classificati come entità essenziali o importanti;

• le linee guida tecniche e operative emanate da ACN e dalle altre autorità di settore;

• le modalità pratiche di notifica degli incidenti e di svolgimento degli audit.

Anche per chi non rientrerà direttamente nell’elenco degli operatori NIS 2, l’evoluzione normativa avrà effetti indiretti significativi, in particolare lungo le catene di fornitura dei settori essenziali. Molte organizzazioni si troveranno a rivedere contratti, SLA, clausole di sicurezza e modelli di due diligence verso fornitori e partner tecnologici.

Indicazioni operative per aziende e infrastrutture

Al di là dei tecnicismi normativi, per le imprese la domanda chiave è: da dove iniziare? L’adeguamento alla NIS 2 richiede tempo, risorse e un approccio strutturato. Alcuni passaggi risultano, tuttavia, trasversali e applicabili alla maggior parte delle organizzazioni.

1. Valutare il perimetro e la propria posizione di rischio

Il primo passo è comprendere se e come l’organizzazione rientra nell’ambito della direttiva, sia direttamente (come entità essenziale o importante) sia indirettamente (come fornitore strategico di tali entità). È opportuno svolgere un’analisi di alto livello che consideri:

• settore di attività e rilevanza dei servizi erogati;

• dimensioni (numero di addetti, fatturato) e presenza geografica;

• ruolo nella filiera di clienti essenziali o importanti;

• dipendenze critiche da infrastrutture digitali, cloud, partner tecnologici.

In parallelo, è utile una prima valutazione della postura di sicurezza attuale: policy esistenti, processi di gestione degli incidenti, presenza di piani di continuità, livello di aggiornamento dei sistemi, gestione degli accessi, copertura della formazione.

2. Definire governance e responsabilità chiare

La NIS 2 enfatizza la responsabilità degli organi di gestione. È quindi essenziale che il board o la direzione definiscano con chiarezza:

• chi è responsabile della cybersecurity a livello operativo (CISO, responsabile sicurezza, o funzione equivalente);

• quale comitato o struttura di governance supervisiona le strategie di sicurezza e i rischi IT/OT;

• come vengono integrate le decisioni di sicurezza nei processi di investimento e nella gestione dei progetti.

Questa fase può includere la revisione di deleghe, regolamenti interni e modelli di reporting, in modo da garantire che le informazioni sui rischi cyber arrivino con regolarità agli organi decisionali.

3. Mappare asset, processi e dipendenze critiche

Non si può proteggere ciò che non si conosce. Un inventario accurato di sistemi, applicazioni, dispositivi, dati critici e fornitori rilevanti è la base per qualunque programma di sicurezza. La mappatura dovrebbe includere sia i sistemi IT tradizionali sia quelli OT e industriali, spesso gestiti con logiche e cicli di vita differenti.

In questa fase è utile identificare i processi core dell’organizzazione (produzione, erogazione di servizi essenziali, funzioni amministrative critiche) e le loro dipendenze tecnologiche: quali sistemi devono essere ripristinati per primi in caso di incidente, quali servizi esterni sono essenziali, dove sono allocate le informazioni più sensibili.

4. Progettare e implementare un piano di rafforzamento graduale

Sulla base della valutazione del rischio e della mappatura degli asset, è possibile definire un piano pluriennale di interventi, articolato per priorità. Gli ambiti tipicamente coinvolti includono:

• hardening delle infrastrutture (aggiornamenti, segmentazione di rete, protezione degli endpoint, sicurezza degli accessi remoti);

• implementazione o rafforzamento di soluzioni di monitoraggio e rilevamento degli incidenti (SIEM, SOC interno o in outsourcing);

• gestione strutturata delle vulnerabilità (scansioni periodiche, patch management);

• definizione e test di piani di risposta agli incidenti e di continuità operativa;

• formazione continua e mirata per utenti, tecnici e management.

Per molte PMI può essere più sostenibile un approccio incrementale, concentrando inizialmente risorse sulle aree a maggior rischio e sugli obblighi più critici, per poi estendere progressivamente le misure all’intero perimetro.

5. Integrare la sicurezza nella supply chain e nei contratti

La NIS 2 pone particolare attenzione alla sicurezza della catena di fornitura. Le organizzazioni dovranno rivedere le modalità con cui selezionano, valutano e gestiscono fornitori e partner, soprattutto se questi hanno accesso a dati sensibili o infrastrutture critiche.

Ciò può comportare, ad esempio, l’introduzione di requisiti minimi di sicurezza nei capitolati, di clausole contrattuali per la gestione degli incidenti e delle vulnerabilità, di verifiche periodiche (questionari, audit, richieste di evidenze documentali) e, in alcuni casi, la diversificazione dei fornitori per ridurre la dipendenza da singoli soggetti.

6. Documentare, misurare, migliorare

La conformità alla NIS 2 non è un traguardo statico, ma un processo continuo. Le organizzazioni dovranno dotarsi di documentazione aggiornata (policy, procedure, registri degli incidenti, esiti di audit interni ed esterni) e di indicatori di performance (KPI e KRI) che permettano di misurare nel tempo l’efficacia delle misure adottate.

Audit periodici, esercitazioni di risposta agli incidenti e revisioni annuali della strategia di sicurezza sono strumenti fondamentali per adattarsi a nuove minacce, cambiamenti tecnologici e aggiornamenti normativi.

FAQ sulla NIS 2 per aziende e infrastrutture

Chi sarà effettivamente obbligato a rispettare la NIS 2?

La direttiva si applica alle entità essenziali e importanti in settori come energia, trasporti, sanità, finanza, acqua, infrastrutture digitali, pubblica amministrazione e a una serie di servizi critici aggiuntivi (postali, rifiuti, manifatturiero in alcuni comparti, servizi digitali). Gli Stati membri definiranno elenchi dettagliati e criteri dimensionali. Tuttavia, anche molte realtà non direttamente incluse saranno interessate tramite le richieste di sicurezza provenienti dai loro clienti o partner regolati.

In cosa la NIS 2 è diversa dal GDPR per quanto riguarda la sicurezza?

Il GDPR si concentra principalmente sulla protezione dei dati personali e sulla privacy delle persone fisiche, mentre la NIS 2 ha come perno la continuità e la sicurezza dei servizi essenziali e delle infrastrutture critiche, indipendentemente dalla tipologia di dato trattato. Le due normative si sovrappongono su alcuni aspetti tecnici (come le misure di sicurezza), ma hanno finalità, soggetti coinvolti e regimi sanzionatori distinti, che possono cumularsi in caso di incidente.

Le PMI devono preoccuparsi della NIS 2 anche se non sono in settori critici?

Sì, in misura variabile. Molte PMI non saranno direttamente classificate come entità essenziali o importanti, ma se fanno parte della supply chain di operatori critici, o se forniscono servizi digitali rilevanti, dovranno rispettare requisiti crescenti di sicurezza per mantenere contratti e relazioni commerciali. Inoltre, le misure richieste dalla NIS 2 rappresentano in larga parte buone pratiche universali, utili a ridurre il rischio di incidenti che potrebbero comunque avere impatti gravi anche su realtà di dimensioni più contenute.

Conclusioni: la NIS 2 come occasione per ripensare la sicurezza

La Direttiva UE 2022/2555 segna un passaggio cruciale nella maturità della cybersicurezza europea. Portando la sicurezza informatica al livello dei consigli di amministrazione e legandola in modo esplicito alla continuità dei servizi essenziali, la NIS 2 impone un cambio di mentalità: non si tratta più di “mettere l’antivirus”, ma di governare un rischio strutturale per l’impresa e per il sistema Paese.

Per aziende e infrastrutture italiane, il percorso di adeguamento richiederà sforzo, investimenti e competenze, ma offrirà anche l’occasione di colmare ritardi storici, di razionalizzare sistemi e processi, di costruire relazioni più solide e trasparenti con clienti e partner. Le organizzazioni che inizieranno per tempo, con una visione strategica e supporto specialistico adeguato, saranno meglio posizionate per affrontare un contesto competitivo e regolatorio in cui la resilienza informatica è sempre più un requisito di base, non un optional.

Per tutte le realtà che operano in settori potenzialmente interessati, è il momento di avviare un’analisi strutturata del proprio livello di sicurezza, di verificare la possibile inclusione nel perimetro NIS 2 e di pianificare un percorso di adeguamento progressivo, coinvolgendo sia il top management sia le funzioni operative e tecniche. Un approccio proattivo alla direttiva permetterà non solo di ridurre i rischi e rispettare gli obblighi normativi, ma anche di trasformare la cybersicurezza in un elemento distintivo di affidabilità e di valore sul mercato.