Cos’è la Direttiva NIS2?

La NIS2 (Network and Information Security 2) è l’evoluzione della prima Direttiva NIS del 2016. Il suo obiettivo è
rafforzare la resilienza cyber nell’Unione Europea, aumentando standard minimi di sicurezza e responsabilità
organizzative.

In pratica, la NIS2:

• amplia i settori e le organizzazioni coinvolte
• introduce responsabilità più dirette per il management
• richiede misure tecniche e organizzative più rigorose
• rafforza gli obblighi di notifica degli incidenti

In Italia, il riferimento istituzionale è l’ACN – Agenzia per la Cybersicurezza Nazionale.

Quali aziende sono obbligate ad adeguarsi?

La NIS2 distingue due macro-categorie: soggetti essenziali e soggetti importanti.
L’inquadramento dipende dal settore e da requisiti dimensionali (ad esempio numero di dipendenti e fatturato).

Soggetti essenziali (esempi)

• Sanità (ospedali, ASL e strutture correlate)
• Energia
• Trasporti
• Infrastrutture digitali
• Acqua e servizi essenziali
• Pubblica amministrazione (centrale e locale, a seconda dei casi)

Soggetti importanti (esempi)

• Servizi ICT e fornitori di servizi digitali
• Provider cloud / data center
• Settore manifatturiero strategico
• Fornitori e filiera della PA (in specifici contesti)

Attenzione: anche molte PMI possono rientrare negli obblighi se superano determinate soglie
(ad esempio 50 dipendenti e/o 10 milioni di euro di fatturato) e operano in settori
considerati critici o parte della filiera.

Cosa cambia rispetto al GDPR?

Un errore frequente è pensare: “abbiamo già fatto il GDPR, quindi siamo a posto”.

Il GDPR riguarda la protezione dei dati personali. La NIS2 riguarda la
sicurezza e la continuità delle infrastrutture e dei servizi digitali.

Questo si traduce in esigenze operative come:

• monitoraggio dei sistemi e dei log
• gestione strutturata del rischio
• piano di incident response formalizzato e testato
• controlli tecnici verificabili e tracciabili

In altre parole: non è solo documentazione, è sicurezza misurabile.

Quali sono le sanzioni?

La normativa prevede sanzioni significative (anche legate a importi fissi o percentuali sul fatturato), ma il rischio
principale per molte organizzazioni è spesso operativo:

• interruzione dei servizi
• perdita di dati e blocco dei sistemi
• danno reputazionale
• responsabilità e accountability del management

Per questo la NIS2 va letta come un tema di continuità aziendale, non solo di compliance.

Cosa deve fare concretamente un’azienda per adeguarsi?

Ecco una sequenza pratica che funziona per la maggior parte delle PMI e degli enti:

1) Valutazione del rischio

Mappatura dell’infrastruttura IT, dei servizi critici e delle principali vulnerabilità (tecniche e organizzative).

2) Implementazione di misure tecniche

• raccolta e analisi dei log (SIEM)
• controllo accessi e tracciamento
• protezione endpoint (in base al rischio)
• segmentazione della rete e hardening

3) Piano di gestione incidenti (Incident Response)

Procedure chiare e testate: chi fa cosa, in quanto tempo, con quali strumenti e con quali escalation.

4) Formazione del personale

Cybersecurity awareness strutturata: phishing, password, dispositivi, buone pratiche e simulazioni periodiche.

5) Monitoraggio continuo

La sicurezza non è un progetto una tantum: serve visibilità costante per rilevare anomalie e dimostrare conformità.

Perché molte PMI sono esposte senza saperlo

Nella pratica, molte organizzazioni hanno:

• firewall configurati ma non monitorati
• nessun SIEM o raccolta centralizzata dei log
• assenza di dashboard e alert
• procedure di risposta agli incidenti non definite

Senza visibilità, non sai cosa succede in rete. E senza evidenze tecniche, diventa difficile anche dimostrare di essere
“in controllo” in caso di audit o incidente.

Come prepararsi alla NIS2 in modo sostenibile (senza spendere come una multinazionale)

Non serve un SOC enorme per iniziare. Serve un approccio proporzionato e scalabile:
monitoraggio, procedure, formazione e un supporto continuo che trasformi la compliance in sicurezza reale.

L’obiettivo è semplice: ridurre il rischio e garantire continuità operativa.

Vuoi capire se rientri nella NIS2 e cosa ti manca per adeguarti?

Se vuoi verificare rapidamente se la tua organizzazione rientra tra i soggetti obbligati e qual è il tuo livello di
maturità cyber, possiamo fare una valutazione preliminare.