Quando la legge ti chiede conto di qualcosa che non hai mai gestito prima.
Hai sentito parlare di NIS 2, sai che riguarda anche la tua azienda, ma tra acronimi, portali da compilare e scadenze che si sovrappongono, capire da dove iniziare è tutt’altro che scontato. Non sei l’unico: è una normativa nuova, complessa, e la maggior parte delle aziende coinvolte sta affrontando lo stesso smarrimento in questo momento.
Cosa è NIS 2
NIS è l’acronimo di “Network and Information System”, reti e sistemi informativi. La direttiva NIS 2 (Direttiva UE 2022/2555) è la normativa europea attualmente in vigore in materia di cybersicurezza. Ha aggiornato e sostituito la precedente NIS 1 con l’obiettivo di rafforzare la resilienza delle infrastrutture informatiche e la capacità di risposta agli incidenti in tutta l’Unione Europea.
Rispetto al passato, il perimetro si è allargato: molte più aziende sono ora obbligate ad adeguarsi, e chi non lo fa rischia sanzioni che possono arrivare fino a 10 milioni di euro o al 2% del fatturato totale.
A chi si rivolge
Le disposizioni si applicano alle entità appartenenti ai settori ad alta criticità e agli altri settori critici individuati dalla direttiva.
Chi deve rispettare NIS 2
La direttiva si applica a soggetti pubblici o privati che rientrano nella definizione di media impresa, o che superano i relativi massimali, e che operano all’interno dell’Unione Europea.
Gli Stati membri possono inoltre estenderne l’applicazione a enti della pubblica amministrazione a livello locale e a istituti di istruzione, in particolare dove svolgano attività di ricerca critiche.
Indipendentemente dalle dimensioni, NIS 2 si applica sempre a fornitori di servizi cloud, data center, motori di ricerca e piattaforme digitali (social network, marketplace).
Cosa fare oggi per metterti in regola
- Verificare il proprio inquadramento nel perimetro NIS 2 (settore, dimensione, servizi).
- Registrarsi sul portale ACN e designare i referenti (Punto di Contatto NIS e Referente CSIRT).
- Comunicare all’ACN l’elenco dei fornitori rilevanti, indicando dati anagrafici, codici CPV e criterio di rilevanza.
- Classificare attività e servizi tramite il Servizio NIS/Categorizzazione, indicando categoria di rilevanza e BIA semplificata.
- Implementare le misure di sicurezza di base previste dagli Allegati 1 e 2 della Determinazione ACN.
- Predisporre procedure per la notifica degli incidenti al CSIRT Italia (pre-notifica entro 24 ore, notifica completa entro 72 ore, rapporto finale entro 1 mese).
- Formare tutto il personale, dagli amministratori ai dipendenti, su cybersecurity e gestione degli incidenti.
- Aggiornare annualmente i propri dati sul portale ACN e mantenere un ciclo continuo di compliance.
Il bisogno che risolvo
Non hai bisogno di diventare tu esperto di normativa europea: hai bisogno di qualcuno che traduca questi otto punti in un percorso chiaro, con priorità definite e scadenze gestibili. Il vero ostacolo della NIS 2 non è la singola attività da svolgere, ma capire in che ordine farle e chi se ne deve occupare in azienda. È esattamente qui che intervengo.
Collaboro con esperti del settore che hanno sviluppato strumenti dedicati alla compliance NIS 2, pensati per fotografare in modo rapido e preciso il punto in cui si trova la tua azienda. Grazie a questi strumenti posso analizzare il tuo posizionamento rispetto alla direttiva, identificare le azioni prioritarie da mettere in campo e affiancarti in ogni fase del percorso di adeguamento.
Dove puoi arrivare
Immagina di poter rispondere senza esitazioni quando un cliente, un partner o un ente ti chiede se la tua azienda è conforme alla NIS 2. Immagina un audit o un controllo che non ti coglie impreparato, perché il percorso di adeguamento è già parte del modo in cui lavori, non un’emergenza dell’ultimo minuto. La compliance, affrontata nel modo giusto, non è solo un obbligo da rispettare: diventa un elemento di credibilità in più, che ti distingue agli occhi di chi sceglie di lavorare con te.