StartUp Data Protection

HomeCompliance › NIS2

NIS2 — dal perimetro alla remediation

Prima di comprare tecnologia serve sapere se e come si rientra negli obblighi. È lì che iniziamo.

D.Lgs. 138/2024 · Allegato 1 ACN

Due strade per finire negli obblighi

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, ha ampliato in modo sostanziale la platea dei soggetti tenuti a misure di sicurezza informatica e a obblighi di notifica. Le imprese si trovano coinvolte per due vie distinte, che conviene tenere separate perché comportano conseguenze diverse.

Prima strada: si rientra direttamente

L'azienda opera in uno dei settori individuati dagli allegati al decreto e supera le soglie dimensionali. Diventa soggetto essenziale o importante, con obblighi di registrazione presso l'Agenzia per la Cybersicurezza Nazionale, adozione di misure di gestione del rischio e notifica degli incidenti.

Seconda strada, molto più frequente: si è fornitori

L'azienda non rientra direttamente ma fornisce beni o servizi a un soggetto obbligato. Poiché la direttiva impone di gestire il rischio della catena di approvvigionamento, quel committente trasferisce a valle requisiti di sicurezza sotto forma di questionari, clausole contrattuali e richieste di evidenze.

Nel secondo caso non ci sono obblighi di legge diretti, ma le conseguenze commerciali sono immediate: chi non sa rispondere in modo documentato esce dalla fornitura. È la ragione per cui riceviamo più richieste da fornitori che da soggetti obbligati.

Il calcolo del perimetro non è immediato

Le soglie dimensionali non si leggono sul bilancio della singola società. Vanno valutate considerando le imprese collegate e associate, secondo i criteri della raccomandazione europea sulle PMI. Un gruppo composto da più società individualmente piccole, con soci comuni o personale condiviso, può superare le soglie una volta consolidato.

Abbiamo condotto analisi su strutture con partecipazioni incrociate e attività su codici di attività diversi: l'esito cambia radicalmente a seconda di come si consolidano i dati, e sbagliare in eccesso costa quanto sbagliare in difetto.

Il percorso

  1. Analisi del perimetro. Settori di attività, soglie dimensionali e relazioni societarie. Esito documentato: soggetto essenziale, importante o fuori perimetro.
  2. Registrazione e categorizzazione. Dove l'obbligo sussiste, supporto alla registrazione sulla piattaforma ACN e alla categorizzazione delle attività e dei servizi.
  3. Assessment. Valutazione controllo per controllo rispetto all'Allegato 1, con misurazione del livello di maturità e individuazione degli scostamenti.
  4. Piano di remediation. Interventi ordinati per priorità, con responsabilità assegnate, tempi e criteri di verifica.
  5. Attuazione e presidio. Accompagnamento nell'implementazione e mantenimento nel tempo, inclusa la gestione del processo di notifica degli incidenti.

Cosa consegniamo

  • Relazione di assessment con il quadro di sintesi per la direzione
  • Analisi puntuale controllo per controllo sull'Allegato 1
  • Piano di remediation articolato in fasi, con calendario
  • Documentazione a supporto della categorizzazione delle attività e dei servizi
  • Procedura di gestione e notifica degli incidenti

Il rapporto con il GDPR

NIS2 e GDPR si sovrappongono ampiamente sul piano delle misure tecniche ma rispondono a logiche diverse: il GDPR protegge gli interessati, NIS2 la continuità dei servizi. Chi ha già un impianto GDPR serio parte avvantaggiato, ma non è automaticamente conforme, e viceversa. Gestirli insieme evita di pagare due volte lo stesso lavoro di ricognizione.

Domande frequenti

Quello che ci chiedono

Come faccio a sapere se rientro?

Servono il settore di attività, i dati dimensionali e l'assetto societario, incluse le imprese collegate. Con questi elementi l'analisi si chiude in tempi brevi e produce un esito documentato, utile anche da esibire a un committente che lo chieda.

Se sono solo un fornitore devo fare tutto lo stesso?

No. Fuori dal perimetro non ci sono obblighi di legge diretti. Serve saper rispondere in modo credibile e documentato alle richieste del committente, il che significa in genere un sottoinsieme mirato di misure e le relative evidenze.

Basta comprare un SIEM per essere conformi?

No. L'Allegato 1 copre governance, gestione del rischio, personale, fornitori, continuità operativa e gestione degli incidenti, oltre alle misure tecniche. La tecnologia risponde a una parte dei controlli; il resto è organizzazione e documentazione.

Che rapporto c'è con i servizi di sicurezza gestita?

Diversi controlli riguardano rilevamento degli incidenti, gestione delle vulnerabilità e capacità di risposta. Un SOC gestito e un servizio di vulnerability management coprono una parte consistente di quei requisiti e li documentano.

Rientrate nella NIS2? Scopriamolo.

L'analisi del perimetro è il primo passo e chiarisce se e cosa dovete fare.

Richiedi una valutazione