Home › Compliance › NIS2
Prima di comprare tecnologia serve sapere se e come si rientra negli obblighi. È lì che iniziamo.
D.Lgs. 138/2024 · Allegato 1 ACN
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, ha ampliato in modo sostanziale la platea dei soggetti tenuti a misure di sicurezza informatica e a obblighi di notifica. Le imprese si trovano coinvolte per due vie distinte, che conviene tenere separate perché comportano conseguenze diverse.
L'azienda opera in uno dei settori individuati dagli allegati al decreto e supera le soglie dimensionali. Diventa soggetto essenziale o importante, con obblighi di registrazione presso l'Agenzia per la Cybersicurezza Nazionale, adozione di misure di gestione del rischio e notifica degli incidenti.
L'azienda non rientra direttamente ma fornisce beni o servizi a un soggetto obbligato. Poiché la direttiva impone di gestire il rischio della catena di approvvigionamento, quel committente trasferisce a valle requisiti di sicurezza sotto forma di questionari, clausole contrattuali e richieste di evidenze.
Nel secondo caso non ci sono obblighi di legge diretti, ma le conseguenze commerciali sono immediate: chi non sa rispondere in modo documentato esce dalla fornitura. È la ragione per cui riceviamo più richieste da fornitori che da soggetti obbligati.
Le soglie dimensionali non si leggono sul bilancio della singola società. Vanno valutate considerando le imprese collegate e associate, secondo i criteri della raccomandazione europea sulle PMI. Un gruppo composto da più società individualmente piccole, con soci comuni o personale condiviso, può superare le soglie una volta consolidato.
Abbiamo condotto analisi su strutture con partecipazioni incrociate e attività su codici di attività diversi: l'esito cambia radicalmente a seconda di come si consolidano i dati, e sbagliare in eccesso costa quanto sbagliare in difetto.
NIS2 e GDPR si sovrappongono ampiamente sul piano delle misure tecniche ma rispondono a logiche diverse: il GDPR protegge gli interessati, NIS2 la continuità dei servizi. Chi ha già un impianto GDPR serio parte avvantaggiato, ma non è automaticamente conforme, e viceversa. Gestirli insieme evita di pagare due volte lo stesso lavoro di ricognizione.
Domande frequenti
Servono il settore di attività, i dati dimensionali e l'assetto societario, incluse le imprese collegate. Con questi elementi l'analisi si chiude in tempi brevi e produce un esito documentato, utile anche da esibire a un committente che lo chieda.
No. Fuori dal perimetro non ci sono obblighi di legge diretti. Serve saper rispondere in modo credibile e documentato alle richieste del committente, il che significa in genere un sottoinsieme mirato di misure e le relative evidenze.
No. L'Allegato 1 copre governance, gestione del rischio, personale, fornitori, continuità operativa e gestione degli incidenti, oltre alle misure tecniche. La tecnologia risponde a una parte dei controlli; il resto è organizzazione e documentazione.
Diversi controlli riguardano rilevamento degli incidenti, gestione delle vulnerabilità e capacità di risposta. Un SOC gestito e un servizio di vulnerability management coprono una parte consistente di quei requisiti e li documentano.
L'analisi del perimetro è il primo passo e chiarisce se e cosa dovete fare.