NIS2 e sicurezza informatica per le imprese
NIS2: ti riguarda?
È la direttiva europea sulla sicurezza delle reti: vale in tutta l'Unione, e ogni Stato la recepisce con la propria legge. Chi rientra nel perimetro deve registrarsi, adottare misure di gestione del rischio e segnalare gli incidenti entro finestre di ore, non di giorni. Le sanzioni si calcolano in percentuale sul fatturato. La parte che sorprende quasi tutti: non riguarda solo le grandi. Il perimetro tocca i settori indicati dalla direttiva — energia, trasporti, sanità, acqua, infrastrutture digitali, alimentare, manifattura di certi tipi — e si estende alla catena di fornitura. Se fornisci un'azienda che rientra, i suoi obblighi diventano richieste contrattuali verso di te: è il motivo per cui molti scoprono di essere coinvolti da un questionario mandato da un cliente, non da un avviso. Se tocchi anche te dipende dal settore, dalla dimensione, dal Paese e da chi servi — non è una cosa che si stabilisce da una pagina web.
Chi è obbligato, e come si fa a saperlo
La norma divide chi rientra in due gruppi: soggetti essenziali e soggetti importanti. Contano il settore — energia, trasporti, sanità, banche, infrastrutture digitali, acqua, rifiuti, alimentare, manifatturiero, poste, chimica, spazio, servizi digitali e pubblica amministrazione — e la dimensione dell'azienda. Non si decide da soli: l'Agenzia per la Cybersicurezza Nazionale iscrive i soggetti in un elenco e lo comunica all'interessato. Chi rientra si registra sul portale ACN, e la registrazione si rinnova ogni anno fra il 1° gennaio e il 28 febbraio. Questa pagina spiega la norma, non stabilisce se riguarda te: quello si vede sui tuoi dati, con l'Agenzia e con chi ti segue sul piano legale.
Le scadenze che contano
La direttiva europea è la 2022/2555. In Italia l'ha recepita il decreto legislativo 138 del 4 settembre 2024, in vigore dal 16 ottobre 2024, e da lì partono termini precisi. Dal gennaio 2026 chi rientra deve saper riconoscere un incidente significativo e segnalarlo all'Agenzia: una pre-allerta entro 24 ore, la notifica vera entro 72 ore, una relazione finale entro un mese. E c'è una data vicina: entro il 31 ottobre 2026 le misure di sicurezza di base stabilite dall'ACN devono essere operative, non pianificate. Da quel giorno l'Agenzia può cominciare a ispezionare.
Se fornisci a un'azienda obbligata
È la parte che sorprende quasi tutti, e riguarda molte più aziende di quante rientrino davvero nell'elenco. La NIS2 chiede a chi è obbligato di mettere in sicurezza la propria catena di fornitura: mappare i fornitori informatici rilevanti, rivedere le clausole dei contratti, controllarli nel tempo. Tu puoi non essere nell'elenco dell'ACN e ricevere lo stesso un questionario, una clausola nuova al rinnovo, o la richiesta di dimostrare come tieni i dati che ti passano. Non è la legge che si rivolge a te: è il tuo cliente, che di quei dati risponde anche per la parte che sta da te. Chi non sa rispondere viene sostituito, e di solito succede al rinnovo, senza discussione.
Cosa si rischia
Le sanzioni si calcolano sul fatturato, non su una tariffa fissa: fino a 10 milioni di euro o il 2% del fatturato annuo mondiale per i soggetti essenziali, fino a 7 milioni o l'1,4% per gli importanti, e si applica l'importo più alto dei due. C'è però una conseguenza che pesa più del denaro: la responsabilità sta sugli organi di amministrazione, che devono approvare le misure e vigilare su come vengono attuate, e nei casi gravi possono essere sospesi dalle funzioni dirigenziali. Non è una multa che si gira all'ufficio tecnico.
Di cosa ci occupiamo
Chi fa impresa tiene indirizzi, ordini e abitudini di spesa dei propri clienti. Se escono, il danno non è l'attività ferma per un giorno: è la fiducia, e quella non si ricompra. Ci occupiamo di tre cose — chi può entrare, cosa resta scritto quando qualcuno ci prova, e come si riparte se qualcosa va storto.
Perché qui non trovi l'elenco
Non pubblichiamo quali difese usiamo, e non è reticenza: un fornitore che mette in vetrina i propri accorgimenti sta lavorando per chi li studia. Con chi valuta sul serio se ne parla a quattr'occhi, con i riferimenti e i registri alla mano. Scrivici e ti diciamo cosa possiamo mostrare e a quali condizioni.
Come si comincia
Una chiamata conoscitiva, mezz'ora, senza impegno e senza costo. Si guarda che attività fai, chi sono i tuoi clienti e come sono messi oggi i tuoi sistemi: da lì si capisce se NIS2 ti tocca e cosa serve davvero. Non chiediamo accessi né documenti per parlare — quelli servono dopo, se si va avanti.
Quanto costa
Si decide caso per caso, e non è una risposta evasiva: un'azienda con dieci computer in un ufficio e una con tre sedi e un gestionale collegato ai fornitori non hanno lo stesso lavoro davanti. Fa salire il conto quanti sistemi ci sono, quanto sono vecchi e quanto è stretta la scadenza; lo fa scendere arrivare prima che il problema sia urgente. Dopo la chiamata sai un numero, prima di impegnarti in qualsiasi cosa.
Quello che ti stai chiedendo
«Ho già un tecnico che segue i computer.» Serve, ed è un altro mestiere: chi tiene in piedi le macchine non è chi risponde di un obbligo di legge davanti a un'autorità. Sono due ruoli che convivono. — «Siamo piccoli, chi vuole attaccarci?» Quasi nessun attacco sceglie il bersaglio: i programmi automatici provano indirizzi a caso ed entrano dove trovano aperto. Piccolo non vuol dire invisibile, vuol dire più facile. — «Ci pensiamo più avanti.» È la risposta più comune, ed è il motivo per cui poi si fa tutto di corsa e male: una scadenza di legge non si negozia, e chi arriva all'ultimo paga di più.
Chiedi un preventivo
Due campi e il resto è facoltativo. Risponde una persona.