La direttiva NIS 2 è passata da argomento da comitato a obbligo di legge che riguarda migliaia di imprese. Se la Sua organizzazione rientra in uno dei settori coperti, nel 2026 non si tratta più di prepararsi: si tratta di dimostrare di esserlo. In questo articolo spiego con chiarezza che cosa richiede la NIS 2, chi è interessato, che cosa cambia rispetto alla NIS 1, i termini di notifica, le sanzioni reali e come la certificazione PECB Lead Implementer si inserisce nella Sua roadmap.

Che cos'è la NIS 2 e che cosa cambia rispetto alla NIS 1

La NIS 2 è la direttiva (UE) 2022/2555 relativa a misure per un livello comune elevato di cibersicurezza nell'Unione. Sostituisce la direttiva NIS del 2016 e la trasforma in qualcosa di più ambizioso: amplia i settori interessati, innalza il livello minimo delle misure tecniche e organizzative, inasprisce gli obblighi di notifica e, soprattutto, attribuisce la responsabilità ultima all'organo di gestione dell'entità.

Ogni Stato membro recepisce la NIS 2 nel diritto nazionale e designa un'autorità nazionale competente, appoggiandosi ai CSIRT per la notifica degli incidenti. In Italia, per esempio, la NIS 2 è stata recepita con il decreto legislativo 138/2024 e l'Agenzia per la cybersicurezza nazionale (ACN) è l'autorità competente.

La differenza chiave rispetto alla NIS 1: la NIS 2 elimina la distinzione tra "operatori di servizi essenziali" e "fornitori di servizi digitali" e la sostituisce con "soggetti essenziali" e "soggetti importanti", con obblighi più concreti e sanzioni più pesanti per entrambe le categorie.

A chi si applica

L'ambito di applicazione è ampio e, se non lo ha mai esaminato, potrebbe sorprenderLa. La NIS 2 copre 18 settori raggruppati in due categorie:

Soggetti essenziali (impatto elevato): energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione e spazio.

Soggetti importanti (impatto significativo): servizi postali e di corriere, gestione dei rifiuti, fabbricazione, produzione e distribuzione di sostanze chimiche, produzione, trasformazione e distribuzione di alimenti, fabbricazione di dispositivi medici, computer ed elettronica, veicoli e altri mezzi di trasporto, fornitori di servizi digitali e organizzazioni di ricerca.

La soglia dimensionale è decisiva: in generale, la NIS 2 si applica alle medie e grandi imprese (più di 50 dipendenti o più di 10 milioni di euro di fatturato) di questi settori. Ma ci sono eccezioni: alcuni servizi critici sono coperti a prescindere dalla dimensione, comprese le PMI che forniscono servizi essenziali ad altri soggetti.

Le misure dell'articolo 21

L'articolo 21 della NIS 2 stabilisce dieci blocchi di misure tecniche, operative e organizzative che ogni soggetto interessato deve attuare. È la spina dorsale della conformità. Ecco i dieci blocchi, con ciò che ciascuno significa in pratica:

  1. Politiche di analisi dei rischi e di sicurezza dei sistemi informatici. Un quadro formale di gestione del rischio, non qualcosa di improvvisato.
  2. Gestione degli incidenti. Processi per rilevare, rispondere e ripristinare.
  3. Continuità operativa. Gestione dei backup, ripristino in caso di disastro e gestione delle crisi.
  4. Sicurezza della catena di approvvigionamento. Come gestisce il rischio dei Suoi fornitori TIC.
  5. Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi. Compresi la gestione e la divulgazione delle vulnerabilità.
  6. Politiche e procedure per valutare l'efficacia delle misure. Come misura che ciò che ha messo in atto funziona davvero.
  7. Pratiche di igiene informatica di base e formazione. Sensibilizzazione ricorrente, non un corso annuale di adempimento.
  8. Politiche e procedure sull'uso della crittografia. E della cifratura, ove pertinente.
  9. Sicurezza delle risorse umane. Controllo degli accessi, gestione delle identità.
  10. Autenticazione a più fattori e soluzioni di comunicazione protette.

Se la Sua organizzazione dispone già di un sistema di gestione della sicurezza delle informazioni conforme alla ISO/IEC 27001, parte con buona parte del percorso già fatta. Ma la NIS 2 va oltre su alcuni punti, in particolare sulla gestione del rischio della catena di approvvigionamento e sulla responsabilità degli organi di gestione.

Desidera certificarsi come NIS 2 Lead Implementer?
Formazione ufficiale PECB con un consulente in attività, in autoapprendimento o con accompagnamento individuale.

Vedere il corso →Parlare con Ricardo

I termini di notifica degli incidenti

Uno dei cambiamenti più esigenti della NIS 2 è il regime di notifica degli incidenti significativi. I termini sono brevi e non lasciano spazio all'improvvisazione:

  • 24 ore: preallarme al CSIRT competente se vi sono indizi che l'incidente possa essere il risultato di atti illeciti o avere un impatto transfrontaliero.
  • 72 ore: notifica formale dell'incidente, con una valutazione iniziale (gravità, impatto, indicatori di compromissione).
  • 1 mese: relazione finale con cause profonde, misure adottate e conseguenze.

Questi termini non sono negoziabili e richiedono processi maturi di rilevazione e classificazione già in atto prima che l'incidente si verifichi, non dopo.

Sanzioni e responsabilità degli organi di gestione

Il regime sanzionatorio della NIS 2 è deliberatamente dissuasivo. Per i soggetti essenziali, le sanzioni possono arrivare a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. Per i soggetti importanti, 7 milioni di euro o l'1,4% del fatturato.

Ma la novità più importante non è l'importo: è che la NIS 2 rende personalmente responsabili i membri dell'organo di gestione. La direttiva richiede loro di approvare le misure di gestione del rischio, di vigilare sulla loro attuazione e di ricevere una formazione periodica in materia di cybersicurezza. Possono essere temporaneamente interdetti dall'esercizio di funzioni dirigenziali in caso di violazione grave accertata.

Una roadmap per iniziare

Se la Sua organizzazione rientra nell'ambito di applicazione e non ha ancora fatto progressi, ecco ciò che raccomando nei progetti su cui lavoro, in questo ordine:

  1. Test di applicabilità. Confermare se il Suo soggetto è coperto (settore + dimensione) e in quale categoria (essenziale o importante). Ci sono sfumature, e non sono ovvie.
  2. Analisi degli scostamenti rispetto all'articolo 21. Dieci blocchi di misure, ciò che ha già e ciò che manca. Probabilmente ha più di quanto pensi, soprattutto se lavora con la ISO 27001.
  3. Quadro di notifica degli incidenti. Procedure, modelli ed esercitazioni per i termini di 24 ore, 72 ore e 1 mese.
  4. Inventario dei fornitori TIC critici. Senza una mappa chiara dei fornitori, il pilastro della catena di approvvigionamento è impossibile.
  5. Coinvolgimento formale dell'organo di gestione. Approvazione delle politiche, piano di formazione specifico e tracciabilità documentale del suo coinvolgimento.
La differenza tra le organizzazioni che si conformeranno alla NIS 2 senza problemi e quelle che andranno incontro a sanzioni non sarà il budget, ma l'anticipo. Chi inizia con calma nel 2026 ci arriverà; chi inizia alla prima ispezione è già in ritardo.

Formazione e certificazione

Se desidera fare il passo verso la certificazione ufficiale PECB, il corso NIS 2 Lead Implementer è la via diretta: autoapprendimento ufficiale PECB per avanzare al Suo ritmo e prepararsi all'esame di certificazione.