Approfondimento editoriale · fonti ufficialimedium
NIS2 in Italia: chi rientra davvero, da quando, e perché riguarda anche i fornitori
Non un attacco, ma il perimetro dentro cui gli attacchi si gestiscono. La direttiva NIS2 è stata recepita in Italia con il D.Lgs 138/2024, in vigore dal 16 ottobre 2024. Definisce chi sono i soggetti "essenziali" e "importanti", cosa devono fare in termini di gestione del rischio e notifica degli incidenti, e come la responsabilità risalga fino ai vertici aziendali. Il punto meno ovvio è la cascata sulla catena di fornitura: molte aziende non regolate direttamente si ritrovano gli obblighi addosso perché forniscono un soggetto che lo è.
Un approfondimento, non l'attacco del giorno
Questo pezzo non racconta una violazione: racconta la cornice dentro cui, in Italia, le violazioni vanno prevenute e notificate. Vale la pena farlo perché quasi ogni dossier di attacco che pubblichiamo finisce, prima o poi, contro la stessa domanda pratica — a chi va segnalato, entro quando, e chi ne risponde? La risposta, dal 2024, ha un nome preciso: NIS2, e in Italia il decreto che la recepisce.
Cosa è cambiato, e da quando
La direttiva (UE) 2022/2555, nota come NIS2, ha sostituito il primo quadro NIS del 2016 alzando l'asticella comune europea: amplia l'ambito a diciotto settori critici, impone misure di gestione del rischio e obblighi di notifica degli incidenti significativi, e introduce la responsabilità diretta degli organi di gestione. Gli Stati membri dovevano recepirla entro il 17 ottobre 2024.
L'Italia lo ha fatto con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. L'autorità nazionale competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), al cui interno opera il CSIRT Italia per la risposta agli incidenti.
- 16 ottobre 2024In vigore
Il D.Lgs 138/2024 recepisce NIS2 in Italia.
- 1 dic 2024 - 28 feb 2025Registrazione
Finestra per iscriversi sulla piattaforma ACN e autovalutarsi.
- Entro aprile 2025Classificazione
ACN comunica ai registrati l'esito: essenziale, importante o fuori ambito.
Essenziale, importante, o fuori ambito
NIS2 distingue tra soggetti essenziali e importanti, in base a settore e dimensione. La meccanica italiana è passata per un adempimento concreto: i soggetti che rientrano nell'ambito dovevano registrarsi sulla piattaforma dell'ACN in una finestra aperta dal 1° dicembre 2024 al 28 febbraio 2025, dichiarando le proprie caratteristiche. Sulla base di quelle informazioni l'Agenzia comunica poi la classificazione. Non è un dettaglio burocratico: la categoria determina l'intensità degli obblighi e il regime di vigilanza e sanzioni.
Gli obblighi sostanziali sono due famiglie. Da un lato, misure di gestione del rischio: un insieme minimo che comprende politiche di analisi del rischio e sicurezza dei sistemi, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, igiene di base e formazione, uso di crittografia e controllo degli accessi. Dall'altro, gli obblighi di notifica: la direttiva prevede un pre-allarme rapido, seguito da una notifica dell'incidente e da una relazione conclusiva, secondo le scadenze definite dal quadro NIS2 e attuate a livello nazionale.
Il punto meno ovvio: la cascata sui fornitori
La parte che sorprende chi si crede fuori dal perimetro è la catena di fornitura. Gli obblighi degli operatori essenziali non restano dentro le loro mura: si trasferiscono ai fornitori, perché la sicurezza di un soggetto regolato dipende da quella di chi gli fornisce software, servizi gestiti, connettività. Un'azienda non regolata direttamente può quindi ritrovarsi a dover dimostrare misure di sicurezza per contratto, perché serve un cliente che a sua volta deve rispettare NIS2. Conoscere il perimetro istituzionale, in questo senso, non è formalità: definisce a chi ci si rivolge in caso di incidente e quali obblighi si applicano davvero.
Cosa verificare alla fonte
Su una materia che evolve — atti attuativi, determinazioni ACN, scadenze settoriali — la regola è non fidarsi delle sintesi, la nostra compresa. Il testo della direttiva è su EUR-Lex; l'ambito, la registrazione e le FAQ ufficiali sono sul portale dell'ACN, che resta il riferimento aggiornato per capire se un soggetto rientra e cosa deve fare. Questo articolo inquadra il disegno complessivo; le date e gli adempimenti specifici della propria organizzazione vanno confermati sui canali dell'Agenzia. È lo stesso principio che applichiamo ai dossier di attacco: ogni affermazione poggia su una fonte primaria, e dove la materia è in movimento, lo diciamo.
