Cyber Security & NIS2
Adeguamento alla Direttiva NIS2 e al D.Lgs. 138/2024 per soggetti essenziali, importanti e loro fornitori: stabiliamo se e come la norma si applica, valutiamo la distanza dalle misure ACN e affianchiamo direzione e IT dal piano di adeguamento alla gestione degli incidenti.
Cosa facciamo
Analizziamo settore, dimensione e servizi erogati per stabilire se l’impresa rientra tra i soggetti essenziali o importanti, quali sistemi e sedi sono nel perimetro e quali obblighi derivano dal ruolo di fornitore di soggetti NIS2.
Supportiamo la registrazione sulla piattaforma ACN nella finestra annuale, la designazione di punto di contatto, sostituto e referente CSIRT, l’aggiornamento annuale dei dati, la categorizzazione di attività e servizi e la comunicazione dei fornitori rilevanti.
Confrontiamo l’organizzazione con le misure di gestione dei rischi dell’art. 24 e con le misure di base definite da ACN: politiche, gestione incidenti, continuità, catena di approvvigionamento, controllo accessi, crittografia, autenticazione a più fattori.
Definiamo ruoli, deleghe e flussi informativi verso il vertice, prepariamo le delibere di approvazione delle misure e realizziamo la formazione obbligatoria per gli organi di amministrazione e direttivi.
Costruiamo la procedura per rilevare, classificare e notificare gli incidenti significativi al CSIRT Italia nei termini previsti (24 ore, 72 ore, un mese), con ruoli, modelli di comunicazione ed esercitazioni pratiche.
Valutiamo i fornitori critici, individuiamo i fornitori rilevanti da comunicare ad ACN, inseriamo requisiti di sicurezza nei contratti e definiamo controlli proporzionati al rischio: questionari, evidenze documentali, verifiche periodiche e gestione delle non conformità.
La Direttiva (UE) 2022/2555, nota come NIS2, ha ampliato in modo significativo il numero di imprese soggette a obblighi di sicurezza informatica. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, che individua l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità nazionale competente e punto di contatto unico, e il CSIRT Italia come destinatario delle notifiche di incidente.
La norma distingue tra soggetti essenziali e soggetti importanti in base al settore e alla dimensione: di regola medie e grandi imprese dei settori degli Allegati I e II, con alcune eccezioni indipendenti dalla soglia. Tra i settori coperti: energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali (comprese reti e servizi di comunicazione elettronica, quindi gli operatori di telecomunicazioni), gestione dei servizi TIC business-to-business, spazio, servizi postali, rifiuti, chimica, alimentare, alcune produzioni manifatturiere (dispositivi medici, elettronica, macchinari, autoveicoli), fornitori di servizi digitali e ricerca. Alle entità finanziarie si applica in via prevalente il Regolamento (UE) 2022/2554, noto come DORA.
Gli obblighi principali sono cinque: la registrazione sulla piattaforma ACN nella finestra annuale e il successivo aggiornamento dei dati (art. 7); la categorizzazione delle attività e dei servizi secondo il modello ACN (art. 30); l’adozione delle misure di gestione dei rischi previste dall’art. 24; la notifica degli incidenti significativi (art. 25); il coinvolgimento diretto degli organi di amministrazione (art. 23), che approvano le misure, ne vigilano l’attuazione e seguono una formazione dedicata.
ACN ha definito le specifiche di base per misure di sicurezza e notifica degli incidenti con determinazioni del 2025, aggiornate a fine anno e integrate nel 2026. Per i soggetti inseriti nell’elenco nel 2025 l’obbligo di notifica è operativo dall’inizio del 2026 e le misure di base vanno attuate entro ottobre 2026; per chi entra nell’elenco negli anni successivi i termini sono fissati da ACN a partire dalla comunicazione di inserimento. Alle specifiche di base seguono quelle per gli obblighi a lungo termine.
Le sanzioni amministrative pecuniarie arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per i soggetti essenziali e fino a 7 milioni o all’1,4% per i soggetti importanti. In caso di inottemperanza alle diffide di ACN è prevista anche l’incapacità temporanea a svolgere funzioni dirigenziali per amministratori e vertici (art. 38). Il rischio più concreto, però, resta un incidente gestito senza procedure: fermi operativi, notifiche fuori tempo, clienti e autorità da informare senza dati certi.
Partiamo dalla domanda che conta: la norma si applica, e a cosa? Esaminiamo settore, soglie, servizi e rapporti di gruppo e tracciamo il confine tra ciò che rientra nel perimetro e ciò che ne resta fuori. Questo evita due errori opposti: adeguare tutto senza necessità o trascurare obblighi che comportano sanzioni.
Segue una gap analysis rispetto alle misure dell’art. 24 e alle misure di base ACN, condotta con interviste, analisi documentale e, dove serve, verifiche tecniche mirate come vulnerability assessment e penetration test. Il risultato è un piano di adeguamento ordinato per priorità, con responsabili e scadenze, che l’organo di amministrazione approva con cognizione di causa.
Nell’implementazione lavoriamo al fianco di IT, funzioni operative, acquisti e direzione: scriviamo politiche e procedure brevi, curiamo gli adempimenti verso ACN, strutturiamo la gestione degli incidenti, portiamo requisiti di sicurezza nei contratti con i fornitori e formiamo chi decide e chi opera. Dove esistono già un sistema ISO/IEC 27001 o un sistema di gestione GDPR strutturato, integriamo la NIS2 nei controlli esistenti invece di costruire un sistema parallelo: la stessa analisi dei rischi, la stessa procedura incidenti con i diversi canali di notifica, lo stesso registro dei fornitori.
Chiudiamo con esercitazioni sulla procedura incidenti e verifiche periodiche di efficacia, perché la conformità NIS2 è un obbligo continuo e non un progetto che si esaurisce con una consegna.
Il nostro metodo
Verifichiamo settore, soglie dimensionali, servizi erogati e rapporti con soggetti NIS2; formalizziamo l’esito in un parere motivato e individuiamo sistemi, processi e sedi che rientrano nel perimetro.
Interviste, analisi documentale e verifiche tecniche mirate per valutare la distanza dalle misure dell’art. 24 e dalle misure di base ACN, con un livello di rischio associato a ogni scostamento.
Documento condiviso con il management: interventi organizzativi e tecnici, responsabili, budget indicativo e scadenze allineate ai termini previsti dal decreto e dalle determinazioni ACN, approvato dall’organo di amministrazione.
Redigiamo politiche e procedure, supportiamo IT e fornitori nell’attuazione delle misure, predisponiamo la registrazione e i flussi verso ACN, formiamo il vertice e il personale.
Testiamo la procedura incidenti con simulazioni, verifichiamo l’efficacia delle misure con audit e test tecnici, aggiorniamo il sistema al variare di norma, organizzazione e tecnologie.
Benefici
Deliverable
Domande frequenti
Dipende da tre fattori: il settore di attività (Allegati I e II del D.Lgs. 138/2024), la dimensione (di regola medie e grandi imprese, con alcune eccezioni indipendenti dalla soglia) e i servizi effettivamente erogati. Alcuni casi sono evidenti, altri richiedono un’analisi puntuale, anche perché la qualifica può dipendere dalle imprese associate e collegate, secondo i criteri della Raccomandazione 2003/361/CE. Conviene chiarirlo per tempo: chi rientra deve registrarsi sulla piattaforma ACN nella finestra annuale e gli altri obblighi decorrono dalla comunicazione di inserimento nell’elenco.
Sì, in modo indiretto ma concreto. I soggetti NIS2 devono presidiare la sicurezza della catena di approvvigionamento e lo fanno imponendo ai fornitori requisiti contrattuali, questionari e audit; dal 2026, inoltre, comunicano ogni anno ad ACN i propri fornitori rilevanti, cioè servizi ICT e forniture non sostituibili. Chi dimostra un livello di sicurezza adeguato consolida il rapporto; chi non lo fa rischia di uscire dagli albi dei fornitori. Affianchiamo l’impresa nel costruire una risposta credibile e proporzionata alla sua dimensione.
La norma attribuisce agli organi di amministrazione e direttivi l’approvazione delle misure di gestione dei rischi, la vigilanza sulla loro attuazione e l’obbligo di seguire una formazione specifica; in caso di violazioni possono essere chiamati a risponderne e, se il soggetto non ottempera alle diffide di ACN, rischiano l’incapacità temporanea a svolgere funzioni dirigenziali. Prepariamo delibere, flussi informativi e un percorso formativo adatto a chi non ha competenze tecniche.
Vanno notificati al CSIRT Italia gli incidenti significativi, cioè quelli che causano o possono causare gravi perturbazioni operative, perdite finanziarie o danni rilevanti a terzi, secondo i criteri definiti da ACN nelle specifiche di base o, per i fornitori di servizi digitali indicati nel Regolamento di esecuzione (UE) 2024/2690, direttamente da quel Regolamento. I termini sono stretti: pre-notifica entro 24 ore da quando si viene a conoscenza dell’incidente, notifica entro 72 ore, relazione finale entro un mese dalla notifica. Per rispettarli servono procedura, ruoli e modelli pronti prima che l’incidente accada.
L’impresa è avvantaggiata, non esentata. La certificazione copre gran parte delle misure dell’art. 24, ma la NIS2 aggiunge obblighi propri: registrazione ACN, notifica degli incidenti nei termini, responsabilità e formazione degli organi di amministrazione, misure specifiche definite da ACN. Mappiamo le corrispondenze e integriamo ciò che manca nel sistema di gestione esistente, senza duplicazioni.
Servizi correlati
Verifiche tecniche di sicurezza su reti, applicazioni e infrastrutture: individuiamo le vulnerabilità prima che lo faccia un attaccante.
ApprofondisciSupporto specialistico agli operatori di telefonia e TLC: obblighi AGCOM, processi di attivazione e migrazione, fatturazione, gestione reclami.
ApprofondisciProgettazione, implementazione e mantenimento di sistemi di gestione certificabili: ISO 9001, 14001, 45001, 27001, 37001, 50001 e i principali schemi di settore e di filiera.
ApprofondisciParliamone
Raccontaci le priorità della tua impresa: in un primo incontro senza impegno analizziamo il contesto e ti proponiamo un percorso concreto, con tempi e risultati misurabili.