NIS2

La NIS2 è la direttiva europea sulla cybersecurity che rafforza gli obblighi di sicurezza per reti, sistemi informativi e servizi digitali. Il nome completo è Direttiva (UE) 2022/2555 e sostituisce la precedente direttiva NIS.

L’obiettivo della NIS2 è aumentare il livello di sicurezza informatica nell’Unione europea, riducendo il rischio di attacchi informatici, interruzioni dei servizi, perdita di dati e incidenti digitali.

NIS2: cosa significa

NIS2 significa Network and Information Security 2. È la seconda direttiva europea sulla sicurezza delle reti e dei sistemi informativi.

Rispetto alla prima direttiva NIS, la NIS2 amplia il numero dei soggetti coinvolti e introduce regole più precise su gestione del rischio, protezione dei sistemi, segnalazione degli incidenti e responsabilità aziendale.

In pratica, la sicurezza informatica non viene più considerata solo un tema tecnico, ma anche organizzativo. Le imprese devono sapere quali sistemi proteggere, quali rischi gestire, come rispondere a un incidente e quali procedure adottare per garantire continuità operativa.

NIS2: chi riguarda

La NIS2 riguarda imprese ed enti che operano in settori considerati critici o strategici, come energia, trasporti, sanità, infrastrutture digitali, servizi finanziari, gestione delle acque, Pubblica Amministrazione e alcuni servizi digitali.

La direttiva distingue tra soggetti essenziali e soggetti importanti, in base al settore, alle dimensioni e al ruolo dell’organizzazione. In generale, gli obblighi riguardano soprattutto medie e grandi imprese, ma anche le PMI possono essere coinvolte se operano in settori sensibili o forniscono servizi a soggetti obbligati.

Per questo motivo la NIS2 interessa anche fornitori tecnologici, software house, consulenti informatici, gestori di infrastrutture digitali, servizi cloud e aziende che offrono soluzioni digitali a clienti strutturati.

NIS2: quali obblighi introduce

La NIS2 richiede alle organizzazioni coinvolte di adottare misure tecniche, organizzative e procedurali adeguate per gestire il rischio informatico.

Tra gli obblighi principali rientrano:

• analisi e gestione dei rischi;
• protezione di reti, sistemi e dati;
• gestione degli incidenti informatici;
• continuità operativa e ripristino dei servizi;
• sicurezza della catena di fornitura;
• controllo degli accessi;
• formazione del personale;
• procedure di segnalazione degli incidenti alle autorità competenti.

La direttiva chiede quindi alle imprese di avere un approccio documentato e continuativo alla sicurezza, non limitato al semplice intervento dopo un problema.

NIS2 e sicurezza dei fornitori

Un aspetto importante della NIS2 riguarda la sicurezza della catena di fornitura. Molti rischi informatici possono nascere da fornitori esterni, software, servizi cloud, consulenti o partner tecnologici.

Per questo motivo, le organizzazioni soggette alla NIS2 devono valutare anche l’affidabilità dei propri fornitori e la sicurezza dei servizi utilizzati. Questo può riguardare, ad esempio, un server cloud, un software gestionale, un servizio di autenticazione, una piattaforma digitale o un sistema di conservazione dei dati.

Anche un’azienda non direttamente obbligata potrebbe quindi ricevere richieste di documentazione, procedure o garanzie di sicurezza da parte dei propri clienti.

NIS2 e protezione dei dati

La NIS2 non sostituisce il GDPR, ma si affianca alle altre norme europee che regolano sicurezza digitale, protezione dei dati e affidabilità dei servizi online.

Il GDPR riguarda principalmente la protezione dei dati personali, mentre la NIS2 si concentra sulla sicurezza delle reti, dei sistemi informativi e dei servizi essenziali. In molti casi, però, i due temi si incontrano: un incidente informatico può infatti comportare anche perdita, accesso non autorizzato o compromissione di dati personali.

La NIS2 si collega anche al quadro europeo sull’identità digitale e sui servizi fiduciari, come eIDAS, perché la sicurezza dei sistemi digitali è sempre più centrale nei rapporti tra imprese, cittadini e pubbliche amministrazioni.

Perché la NIS2 è importante per le imprese

La NIS2 è importante perché porta la cybersicurezza al centro della gestione aziendale. Non basta avere strumenti tecnici: servono procedure, responsabilità, controlli, formazione e capacità di risposta agli incidenti.

Per un’impresa, questo significa conoscere i propri sistemi critici, proteggere gli accessi, monitorare i rischi, scegliere con attenzione i fornitori e predisporre piani per garantire la continuità dell’attività.

Anche quando non si rientra direttamente tra i soggetti obbligati, la NIS2 può diventare un riferimento utile per migliorare l’organizzazione interna e rispondere alle richieste di clienti, partner e fornitori.