Guida NIS2 · 10 min
Come conformarsi a NIS2: una roadmap passo dopo passo
NIS2 non è una checklist da completare una volta. È un obbligo continuo, sostenuto dalla responsabilità della dirigenza e dall'applicazione da parte delle autorità. Ma il percorso verso la conformità è ben definito. Questa guida espone i passi in ordine: stabilire se rientrate nell'ambito, registrarvi presso la tua autorità, responsabilizzare formalmente la dirigenza, attuare le misure di gestione del rischio, mettere in sicurezza la supply chain, predisporre la notifica degli incidenti e mantenere tutto dimostrabile nel tempo. Ogni passo rimanda a una guida più approfondita quando serve.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
Punti chiave
- NIS2 (direttiva (UE) 2022/2555) doveva essere recepita nel diritto nazionale entro il 17 ottobre 2024; gli obblighi si applicano tramite la legge di recepimento di ciascuno Stato membro.
- La conformità segue una sequenza chiara: ambito → registrazione → governance → misure dell'art. 21 → supply chain → notifica degli incidenti → garanzia continua.
- È continua, non una tantum. La dirigenza è responsabile (art. 20) e le autorità di vigilanza possono verificare, ordinare la correzione e sanzionare (art. 34).
Cosa significa davvero «conformità NIS2»
NIS2 è una direttiva UE, quindi si applica tramite la legge nazionale che ogni Stato membro ha adottato per recepirla (il termine di recepimento era il 17 ottobre 2024; alcuni Stati sono stati in ritardo). Fissa una base di misure di gestione del rischio di cybersicurezza (art. 21), notifica degli incidenti (art. 23), governance e responsabilità (art. 20) e registrazione presso un'autorità competente, il tutto applicato mediante verifiche e sanzioni (art. 34).
Fondamentale: è un sistema di gestione, non un certificato. Non si «supera» NIS2 una volta; le misure si gestiscono, si dimostrano e si migliorano in continuo, e la tua dirigenza ne è personalmente responsabile. I passi seguenti vi portano a una base difendibile e vi ci mantengono.
Chi deve conformarsi
Soggetti essenziali e importanti: organizzazioni medie e grandi nei settori degli allegati I/II (energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, manifattura e altro). Confermate il tuo livello con la guida «Chi rientra nell'ambito di NIS2».
Coinvolto indirettamente
Anche senza designazione, l'obbligo sulla supply chain vi raggiunge: i soggetti nell'ambito devono valutare i loro fornitori (art. 21(2)(d)), quindi affronterete questionari, richieste di prove e monitoraggio continuo tramite i tuoi contratti.
La roadmap, passo dopo passo
Sette passi, in ordine. Ciascuno si basa sul precedente.
Confermate ambito e livello. Stabilite se sei un soggetto essenziale o importante in base ai settori degli allegati I/II e alle soglie dimensionali, e collocate i tuoi fornitori.
Registratevi presso la tua autorità competente. La maggior parte degli Stati membri impone ai soggetti nell'ambito di registrarsi (nome, settore, contatti, intervalli IP) ai sensi della propria legge di recepimento.
Responsabilizzate la dirigenza. L'organo di gestione deve approvare le misure di gestione del rischio, vigilare su di esse ed essere formato (art. 20), e può essere ritenuto responsabile.
Attuate le misure dell'art. 21(2): le dieci misure di base, applicate in modo proporzionato al tuo rischio (vedi l'elenco sotto).
Mettete in sicurezza la supply chain. Valuta e monitora il rischio informatico dei fornitori (art. 21(2)(d)) con classificazione, questionari e prove continue, non una verifica una tantum.
Predisponete la notifica degli incidenti. Siate in grado di inviare il preallarme entro 24 ore, la notifica entro 72 ore e la relazione finale entro un mese al tuo CSIRT (art. 23).
Rendetela continua e dimostrabile. Monitora, testate, documenta e riesaminate così da poter dimostrare, su richiesta, che le misure funzionano.
Le misure dell'articolo 21(2)
Il passo 4 in dettaglio. NIS2 richiede, in modo proporzionato, almeno:
- (a) Analisi dei rischi e politiche di sicurezza dei sistemi informativi.
- (b) Gestione degli incidenti: rilevamento, risposta e ripristino.
- (c) Continuità operativa: backup, ripristino in caso di disastro e gestione delle crisi.
- (d) Sicurezza della supply chain, compresa la sicurezza dei rapporti con fornitori e prestatori diretti.
- (e) Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione, compresi la gestione e la divulgazione delle vulnerabilità.
- (f) Politiche e procedure per valutare l'efficacia delle misure.
- (g) Igiene informatica di base e formazione sulla sicurezza.
- (h) Crittografia e, se opportuno, cifratura.
- (i) Sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli attivi.
- (j) Autenticazione a più fattori, comunicazioni voce/video/testo protette e comunicazioni di emergenza protette.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
7 giorni gratuiti · senza carta di credito · disdici quando vuoi
Perché non «finisce» mai davvero
Le misure non sono un progetto con un traguardo. NIS2 si attende che ne valutiate l'efficacia (art. 21(2)(f)), e le autorità di vigilanza possono svolgere verifiche, richiedere prove, emettere istruzioni vincolanti e imporre sanzioni (art. 34): per i soggetti essenziali fino a 10 milioni di euro o il 2 % del fatturato annuo mondiale, se superiore. Anche la dirigenza può essere ritenuta personalmente responsabile.
Ecco perché l'ultimo passo conta di più: il divario tra «abbiamo scritto una policy» e «possiamo dimostrare che funziona oggi» è esattamente ciò che un revisore (o la due diligence di un cliente) vi chiede di colmare. Il monitoraggio continuo e le prove conserva trasformano uno sforzo una tantum in una posizione difendibile e ripetibile.
NIS2 si applica tramite il diritto nazionale, e i dettagli (meccanica di registrazione, scadenze, specificità settoriali, livelli di sanzione) variano da uno Stato membro all'altro. Confermate i dettagli presso la tua autorità nazionale competente.
Da dove iniziare?
La tua prima mossa dipende dalla tua situazione:
Rientrate chiaramente nell'ambito (essenziale o importante)
Inizia dal passo 1 per confermare il livello, poi registratevi e informate la dirigenza. Usa la guida sulla responsabilità della dirigenza per coinvolgere presto il consiglio.
Non sei sicuri di rientrare nell'ambito
Inizia dalla guida «Chi rientra nell'ambito di NIS2», settori e soglie dimensionali, prima di investire in controlli. Non date per scontata un'esenzione; la supply chain può comunque raggiungervi.
Sei fornitori di soggetti nell'ambito
Anche senza designazione propria, aspettatevi questionari fornitori e monitoraggio. Le guide su questionario e checklist mostrano cosa vi sarà chiesto di dimostrare.
Hai già la ISO 27001
Gran parte del passo 4 si riporta, ma non la notifica di legge degli incidenti, la registrazione e la responsabilità della dirigenza. La guida ISO 27001 mappa ciò che resta.
Fonti: Direttiva (UE) 2022/2555 (NIS2) e la tua legge nazionale di recepimento. NIS2 si applica tramite il diritto nazionale; confermate meccanica di registrazione, scadenze e livelli di sanzione presso la tua autorità competente.
Come aiuta norppa.io
norppa.io è costruito per i passi 5 e 7, le parti supply chain e prova continua che la maggior parte dei team trova più difficili. Monitora ogni dominio fornitore su più di cento punti di controllo ogni giorno (quelli sensibili al tempo ogni sei ore), associa ogni rilievo all'articolo NIS2 interessato e mantiene un registro datato ed esportabile per il tuo fascicolo fornitori.
I questionari di autovalutazione colgono i controlli di processo e contrattuali, e ogni risposta viene affiancata al profilo tecnico in tempo reale: così che, quando un revisore o un cliente vi chiede di dimostrare che la sicurezza della supply chain funziona davvero, disponete di prove attuali e corroborate anziché di un foglio di calcolo della primavera scorsa.