La Direttiva NIS2, entrata in vigore a metà ottobre e recepita in Italia con apposito decreto legislativo (D. Lgs n. 138/2024), mira a rafforzare la sicurezza informatica e la resilienza operativa digitale delle organizzazioni che offrono servizi all’interno dell’Unione Europea in specifici settori (chiamati “settori ad alta criticità” e “altri settori critici”).
La Direttiva sostituisce la precedente del 2016, ampliando il suo ambito di applicazione e introducendo requisiti più stringenti per la protezione delle reti e dei sistemi informativi.
Se da un lato la compliance alla NIS2 è obbligatoria per motivi di sicurezza, dall’altro offre alle imprese l’opportunità di:
- incentivare l’innovazione interna, modernizzando la propria infrastruttura IT e aumentando la sicurezza e l’efficienza dei processi;
- rafforzare la credibilità aziendale e la fiducia di clienti e partner;
- potenziare la competitività e accedere a mercati più ampi.
A chi si applica la Direttiva NIS2
La Direttiva obbliga le organizzazioni pubbliche e private, che operano in 18 settori considerati particolarmente rilevanti (perché ritenuti fondamentali per il funzionamento della società e dell’economia europea), ad alzare i loro livelli di sicurezza informatica.
L’ACN (Agenzia per la Cybersicurezza Nazionale) nominata autorità italiana competente per l’applicazione della Direttiva dal decreto legislativo di recepimento, ha individuato questi settori critici in conformità alla Direttiva stessa, tra cui:
- energia
- trasporti
- sanità
- infrastrutture digitali (data center, cloud, telecomunicazioni)
- servizi ICT
- Pubblica Amministrazione
Per quanto riguarda le organizzazioni private, sono obbligate ad adeguarsi solo le imprese di grandi e di medie dimensioni. Per le piccole e microimprese invece dipende dalla loro rilevanza nel settore di riferimento.
Le organizzazioni interessate dalla NIS2 devono implementare misure tecniche, operative e organizzative appropriate per gestire i rischi legati alla sicurezza informatica, tra cui:
- attuazione di misure per la gestione dei rischi e la protezione dei sistemi da vulnerabilità e minacce cibernetiche emergenti;
- obbligo di notifica degli incidenti con impatti significativi entro 24 ore dalla scoperta, per garantire una risposta rapida e coordinata; le notifiche andranno fatte al competente CSIRT Italia (Computer Security Incident Response Team), la struttura interna all’ACN che ha la responsabilità di monitorare, intercettare, analizzare e rispondere agli incidenti informatici;
- adozione di misure di sicurezza avanzate, come ad esempio l’autenticazione multifattore, la crittografia e la cifratura, per aumentare la protezione dei dati e prevenire accessi non autorizzati;
- formazione continua degli organi apicali delle imprese coinvolte (organi di amministrazione e organi di direzione), e promozione della formazione di tutto il personale coinvolto, allo scopo di creare, in ottica preventiva, una cultura aziendale della sicurezza.
- Il dettaglio degli obblighi e delle misure sarà definito da ACN nel corso del 2025 e, secondo la timeline condivisa dalla stessa Agenzia, l’implementazione dei nuovi obblighi sarà graduale e progressiva:
- i nuovi obblighi di notifica si applicheranno da gennaio 2026;
- le nuove misure di cybersicurezza dovranno essere implementate a partire da settembre 2026.
Il portale dell’ACN per la conformità a NIS2 (www.acn.gov.it) , portale per la registrazione delle organizzazioni cui si applica la Direttiva NIS2.
