L’adeguamento alla Direttiva NIS2 è ormai un obbligo per moltissime aziende italiane. La normativa impone misure strutturate e documentabili in ambito di sicurezza informatica, con un impatto concreto sulla gestione dei rischi e la protezione delle infrastrutture digitali. Ma cosa devono fare le imprese per mettersi in regola?
Nel giugno 2025, ENISA – l’Agenzia dell’Unione Europea per la sicurezza informatica – ha pubblicato una guida tecnica all’attuazione della NIS2, che rappresenta oggi il punto di riferimento operativo più aggiornato e autorevole per affrontare l’adeguamento.
Guida ENISA NIS2: cos’è e a cosa serve
La guida ENISA supporta l’applicazione del Regolamento UE 2024/2690, che dettaglia i requisiti previsti dall’art. 21 della Direttiva NIS2 (Direttiva UE 2022/2555).
Sebbene non sia giuridicamente vincolante, il documento:
- Traduce gli obblighi della direttiva in azioni operative concrete;
- Fornisce esempi di evidenze documentali utili per gli audit;
- Offre mappature con standard riconosciuti (ISO 27001, NIST CSF, ETSI);
- Contiene raccomandazioni pratiche per l’implementazione delle misure di sicurezza;
- Aiuta le aziende a prepararsi ad ispezioni e controlli ufficiali.
.
Chi deve adeguarsi alla NIS2 (imprese, PA, fornitori)
La guida ENISA è destinata in primis ai cosiddetti soggetti rilevanti, tra cui:
- Aziende attive in settori critici (energia, acqua, sanità, trasporti, finanza, PA);
- Fornitori di servizi digitali come cloud, data center, DNS, social network;
- Fornitori di servizi gestiti (MSP) o fiduciari;
- Organizzazioni classificate come “essenziali” o “importanti” dalla direttiva.
Tuttavia, è utile anche per PMI non direttamente soggette, che vogliono migliorare la propria cyber resilience e prepararsi a richieste normative future. Inoltre la norma prevede la verifica di tutta la catena di approvvigionamento, per questo molte PMI che operano come subfornitori di enti pubblici o di imprese soggette alla normativa, sono quindi indirettamente coinvolte nei requisiti di sicurezza.
Le 13 aree obbligatorie della sicurezza secondo NIS2
La guida struttura l’intero impianto della cybersecurity aziendale in 13 aree di controllo, ognuno associato a requisiti specifici. Vediamoli in sintesi.
-
Politica per la sicurezza delle reti e dei sistemi
Ogni organizzazione deve adottare una policy formale, approvata dai vertici, che definisca:
- Obiettivi di sicurezza;
- Risorse dedicate (personale, budget, strumenti);
- Ruoli e responsabilità;
- Indicatori per misurare il livello di maturità;
- Procedure di aggiornamento e comunicazione.
Questa politica rappresenta la base per tutte le attività successive.
-
Gestione del rischio
È necessario implementare un framework di risk management che includa:
- Identificazione dei rischi (anche da fornitori e terze parti);
- Valutazione di probabilità e impatto;
- Piano di trattamento dei rischi (mitigazione, trasferimento, accettazione);
- Riesame annuale e dopo ogni incidente significativo.
-
Gestione degli incidenti
Serve una procedura di gestione degli incidenti che preveda:
- Rilevazione incidenti
- Categorizzazione degli eventi;
- Escalation interna;
- Comunicazione con CSIRT e autorità competenti;
- Notifica entro 24/72 ore in caso di incidenti significativi;
- Log delle attività e post-incident review.
-
Continuità operativa e gestione delle crisi
Il piano di business continuity e disaster recovery deve basarsi su un’analisi d’impatto e includere:
- RTO, RPO e obiettivi di servizio;
- Procedure di backup e ripristino;
- Modalità di attivazione dei piani;
- Test annuali e aggiornamento continuo;
- Un processo strutturato di gestione delle crisi, inclusa la comunicazione interna ed esterna.
-
Sicurezza della catena di approvvigionamento
Le relazioni con fornitori e partner critici, devono essere valutate e controllate, con:
- Policy di sicurezza della catena di approvvigionamento;
- Requisiti di sicurezza inclusi in contratti e RFP;
- Inventario dei fornitori critici;
- Valutazione dei rischi derivanti da ciascun fornitore;
- Monitoraggio continuo della conformità.
-
Sicurezza nello sviluppo, acquisizione e manutenzione
Sono richieste misure per:
- Garantire che software e sistemi acquistati rispettino requisiti di sicurezza;
- Applicare pratiche di secure coding;
- Implementare gestione delle patch, test di sicurezza, segmentazione di rete.
-
Valutazione dell’efficacia
Ogni impresa deve avere una procedura per valutare l’efficacia delle misure adottate:
- Audit interni e controlli periodici;
- Verifica dell’attuazione e adeguatezza delle misure;
- Reporting ai vertici e revisione basata sui risultati.
-
Cyber hygiene e formazione
È obbligatorio un programma di formazione continua per:
- Aumentare la consapevolezza del personale;
- Fornire formazione specifica ai ruoli chiave (IT, compliance, CISO);
- Prevedere verifiche dell’efficacia formativa;
- Mantenere registri delle attività.
-
Crittografia
L’uso della crittografia deve essere previsto per:
- Proteggere i dati in transito e a riposo;
- Applicare protocolli considerati sicuri e allo stato dell’arte;
- Gestire le chiavi crittografiche in modo sicuro.
-
Sicurezza delle risorse umane
È richiesto un controllo sistematico del ciclo di vita del personale:
- Verifica dell’affidabilità e competenza;
- Gestione dell’onboarding e dell’exit;
- Controllo degli accessi e delle autorizzazioni.
-
Access control
Ogni accesso deve essere:
- Basato su autorizzazione specifica (principio del minimo privilegio);
- Sottoposto a autenticazione multifattore per sistemi critici;
- Gestito e riesaminato periodicamente.
-
Gestione degli asset
Serve un inventario completo e aggiornato di:
- Dispositivi hardware e software;
- Servizi cloud;
- Sistemi e reti;
- Asset fisici e logici con classificazione in base alla criticità.
-
Sicurezza fisica e ambientale
Deve essere garantita la protezione degli ambienti fisici e delle infrastrutture, con misure di:
- Controllo accessi ai locali;
- Protezione da incendi, allagamenti, guasti;
- Ridondanza delle utility e delle comunicazioni.
Come dimostrare la conformità NIS2
Molte imprese trascurano la parte documentale, ma in caso di audit o ispezione è fondamentale poter dimostrare la conformità. Bisogna predisporre:
- Policy firmate e approvate
- Evidenze di formazione e registri di audit
- Report di test e simulazioni
- Verbali dei riesami periodici
- Prove di comunicazione al personale e tracciabilità dei processi
Un audit ben gestito non è solo una verifica, ma una leva di miglioramento continuo.
Non è necessario reinventare la ruota: molte aziende possono integrare questi requisiti nei processi esistenti, se ben documentati e formalizzati.
I primi passi per l’adeguamento
Per chi vuole iniziare con il piede giusto, questi sono i 5 step fondamentali:
- Verificare l’obbligatorietà: tramite codice ATECO, soglie dimensionali e settore.
- Eseguire un assessment iniziale rispetto ai 13 requisiti.
- Definire policy, ruoli e responsabilità documentati e approvati.
- Attivare un ciclo di miglioramento continuo: audit, riesami, aggiornamenti.
- Prepararsi agli audit con evidenze chiare, misurabili e tracciabili.
Domande frequenti (FAQ)
✅ Sono una PMI non nel settore critico: mi conviene comunque adeguarmi?
Sì, perché le misure della NIS2 migliorano la resilienza digitale e diventano spesso requisito nei bandi pubblici, negli appalti o nei contratti con clienti che ricadono nell’applicazione della norma.
✅ Cosa rischio se non mi adeguo?
Oltre a potenziali sanzioni, si rischia la perdita di fiducia da parte di partner e clienti, e una forte esposizione a danni da incidenti informatici.
✅ Devo usare solo prodotti certificati?
No, ma è importante adottare soluzioni tecnicamente adeguate, documentate e riconosciute dagli standard internazionali.
✅ Quanto tempo ci vuole per adeguarsi?
Dipende dalla situazione iniziale dell’azienda. Per una PMI con infrastruttura IT esistente possono servire anche mesi, tutto dipende alla complessità dei processi e dal livello di maturità.
✅ Chi deve occuparsi della NIS2 in azienda?
Il coinvolgimento deve essere trasversale: direzione, responsabili IT, sicurezza, compliance e risorse umane. Serve un referente interno o un partner esterno competente.
Linkat per la compliance NIS2
Se sei un’impresa attiva nei settori interessati o un fornitore critico, è il momento di agire. La mancata conformità alla Direttiva NIS2 può comportare sanzioni, ispezioni, responsabilità e perdita di fiducia da parte di clienti e partner.
Offriamo un check-up gratuito dello stato di conformità alla NIS2, un piano operativo personalizzato e servizi di assistenza continua per supportarti con:
- Analisi tecnica e organizzativa iniziale
- Redazione policy e documentazione
- Assistenza alla gestione dei rischi
- Formazione e supporto al personale
- Preparazione ad audit e ispezioni
Chiamaci al 0835 183 0000
Contattaci oggi stesso per una consulenza preliminare gratuita: saremo il tuo partner affidabile per la sicurezza digitale.
Insieme possiamo trasformare la NIS2 da obbligo normativo a leva strategica per rafforzare la resilienza e la reputazione della tua impresa.
